まだリリースしていません。 対応するのは main の先頭だけです。

M4（配布パッケージ生成）でタグを打ちはじめたら、ここに対応範囲の表を置きます。 それまでは、報告は main に対するものとして扱います。

公開の Issue で報告しないでください。

Security Advisories から非公開で報告してください。GitHub アカウントがあれば、他の人に見えない形で報告できます。

以下を含めてもらえると助かります。

• 何が起きるか、どう悪用されうるか
• 再現手順
• 影響を受けるバージョンまたはコミット

再現用のファイルに、あなた自身の声・音源・歌詞を含めないでください。 合成音声やダミーデータで再現できるなら、そちらを使ってください。

個人が開発しているプロジェクトのため、修正までの時間は保証できません。受け取ったことは1週間以内に返信します。

KOERU は「非公開のまま完成できる」ことを製品の前提として担保しています。この前提を破る経路は、それ自体が脆弱性です。

• 録音データの取り扱い。 声・ファイルパス・歌詞・音源名が、ユーザーの意図しない形で外に出る経路
• 利用計測の送信内容。 オプトインであること、ホワイトリストに無いフィールドが送られないこと
• 外部ファイルの解析。 WAV / oto.ini / character.txt / ZIP に細工されたファイルを読ませたときの、クラッシュ・パストラバーサル・任意コード実行
• FFI 境界。 音声 I/O と合成エンジンへの呼び出しで、Rust 側の不変条件が破れる箇所
• 配布物の完全性。 署名・更新経路

• 依存ライブラリそのものの脆弱性。上流へ報告してください。ただし KOERU から到達できる経路がある場合は知らせてください
• ソーシャルエンジニアリング
• マシンへ物理的にアクセスできる攻撃者を前提とした攻撃

修正後、GitHub Security Advisory として公開します。望まない場合を除き、報告者をクレジットします。