Só a versão mais recente (a branch main) recebe correções de segurança. É um projeto educacional em 0.x, sem versões antigas mantidas.

Reporte em privado, pelos avisos de segurança do GitHub: abra a aba Security do repositório e escolha Report a vulnerability, ou use o link direto. Não abra issue nem pull request públicos para isso.

Inclua o necessário para reproduzir: a versão (ou o commit), os passos, o que você esperava e o que aconteceu, e o impacto que você enxerga.

O objetivo é confirmar o recebimento em até 7 dias.

A divulgação é coordenada: a correção é preparada em privado, publicada, e só então o aviso é divulgado. O prazo-alvo é de no máximo 90 dias a partir do relato, ou antes se a correção ficar pronta. O relator recebe o crédito no aviso, a menos que prefira não aparecer.

É material didático: um programa de terminal que roda localmente, sem servidor, contas ou dados pessoais. O que cabe aqui é uma falha em dependência, em workflow do GitHub Actions ou no código dos atalhos de execução. Dúvidas e sugestões comuns vão pelas issues, como o README convida.