가장 최근 릴리스 태그(v*)와 main만 보안 수정을 받습니다.

공개 이슈에 올리지 마세요. GitHub 저장소의 Security → Report a vulnerability(비공개 취약점 보고)로 보내 주세요. 다음을 적어 주시면 빨리 확인할 수 있습니다.

• 영향을 받는 커밋이나 버전
• 재현 순서와 기대한 동작·실제 동작
• 공격자가 무엇을 통제해야 하는지(Slack 메시지, 첨부 파일, 같은 호스트의 다른 사용자 등)

보고를 받으면 7일 안에 받았다고 답하고, 고칠 대상이면 수정 릴리스와 함께 공개합니다.

ompbot은 한 명의 오너가 자기 서버에서 돌리는 개인 운영 도구입니다. 아래는 설계상 정해진 한계이므로 취약점으로 보지 않습니다. 자세한 것은 보안 메모에 있습니다.

• omp 자식은 ompbot과 같은 유닉스 사용자로 실행되므로, OS 권한으로 토큰 파일 접근을 막지 않습니다.
• ompbot dashboard는 자체 인증이 없고 루프백에만 엽니다. 밖에 노출하는 것은 운영자의 설정입니다.
• 오너 본인이 보낸 지시로 일어난 일은 범위 밖입니다. 다만 오너가 아닌 입력이 오너 게이트를 넘거나, 비밀 마스킹·업로드 차단을 우회하는 경우는 취약점입니다.