Проект пока в стадии 0.x: исправления безопасности выходят для последней опубликованной версии. Обновляйтесь до неё, чтобы получать фиксы.

Пожалуйста, не создавайте публичный issue для уязвимостей.

Сообщите одним из способов:

• через GitHub → вкладка Security → Report a vulnerability (Private vulnerability reporting);
• либо письмом на dev@kiow.ru с темой, начинающейся с [security].

В сообщении по возможности укажите:

• описание проблемы и её потенциальное влияние;
• версию itd-api и окружение (Node/браузер/Bun/Deno, версия рантайма);
• шаги для воспроизведения или proof-of-concept;
• предполагаемый способ устранения, если он есть.

• Подтверждение получения — в течение 72 часов.
• Первичная оценка и план действий — в течение 7 дней.
• Мы держим вас в курсе хода работы и согласуем срок публичного раскрытия.
• С вашего согласия укажем вас в благодарностях к исправлению.

Просьба придерживаться разумного скрытого раскрытия: дайте время выпустить исправление до того, как детали станут публичными.

Эта политика касается кода библиотеки itd-api в этом репозитории. Уязвимости самой платформы итд.com к проекту отношения не имеют — сообщайте о них напрямую её владельцам.