Não abra issue pública para vulnerabilidades. Reporte via GitHub Security Advisories do repositório (aba Security → Report a vulnerability) ou pelo perfil do mantenedor.

• Código deste repositório e artefatos que ele distribui.
• Recepção de dados não-confiáveis, execução de subprocessos, redação de segredos e proveniência são partes do modelo de ameaça.

• Persistência passa por redação na fronteira — segredos nunca em claro.
• Nenhum caminho reporta sucesso sem evidência válida.
• Achados de auditoria ficam registrados com CVE/GHSA e evidência.

Sem promessa de SLA formal — projeto open-source mantido pelo autor.