Si encontrás una vulnerabilidad, no abras un issue público. Usá el reporte privado de GitHub: pestaña Security del repo → Report a vulnerability. Eso llega sólo a quien mantiene el proyecto.
Contame qué encontraste, cómo reproducirlo y qué se puede hacer con eso. Un ejemplo mínimo ayuda más que una descripción larga.
Esto lo mantiene una sola persona a ratos: no hay guardia ni tiempos garantizados. Contesto apenas lo veo, y si el problema es real lo arreglo antes de publicar nada al respecto.
Lo que vive en este repo: la app, el Dockerfile, los compose y el modelo de
datos. Por ejemplo: robo o falsificación de sesión, saltarse la validación de
membresía, ver datos de un grupo del que no formás parte, inyección, o llegar a
administrador sin serlo.
Lo que no entra es tu instancia. Un AUTH_SECRET débil, la base expuesta a
internet o la app sin HTTPS adelante son cosas que se arreglan en tu servidor.
Se arregla sobre la última versión publicada. No hay backports a tags viejos.
AUTH_SECRETlargo y único, generado conopenssl rand -hex 32. Si se filtra, cambialo: se cierran todas las sesiones y se invalidan los links de restablecer contraseña.- No expongas Postgres a internet. Que le hable sólo la app, por la red interna.
- Poné un reverse proxy con HTTPS adelante. En producción la cookie de sesión
viaja con
Secure, así que sin TLS no vas a poder ni entrar. - Para actualizar:
git pully redeploy. Las migraciones corren solas al arrancar el contenedor.