本仓库收录 StackPanel 的可选插件。插件的安全修复只针对各插件的最新版本，
请先确认问题在 main 分支或最新版本上仍然存在。
不要通过公开 issue、讨论区或 PR 报告安全漏洞。
请使用 GitHub 的私密漏洞报告通道：
https://github.com/worable233/stackpanel-plugins/security/advisories/new
报告中请尽量包含：
- 受影响的插件与版本，以及对应的内核版本
- 复现步骤或最小复现仓库
- 实际影响（越权、信息泄露、远程代码执行、拒绝服务等）与攻击前提
- 如果可以，附上修复建议
| 阶段 | 目标时间 |
|---|---|
| 确认收到 | 3 个工作日内 |
| 初步评估结论 | 7 个工作日内 |
| 修复与发布 | 视严重程度，30 天内 |
| 公开披露 | 修复发布后，与你协商 |
修复发布后我们会在 GitHub Security Advisory 中致谢（除非你希望匿名）。
下列问题属于安全漏洞范围：
- 认证、会话、权限校验缺陷，例如插件管理接口的越权访问
- 插件读写越界：访问未声明模型、读取其它插件的数据
- 密钥处理缺陷：密文存储、日志或响应中泄露明文
- 上游请求伪造（SSRF）、注入、路径穿越、文件上传处理缺陷
- 支付与计费逻辑缺陷：回调验签绕过、金额或余额被篡改
- 影响可用性的拒绝服务（需可远程触发且有实际影响）
下列问题不在范围内：
- 内核自身的缺陷，请报告给 stackpanel
- 由自托管环境配置错误导致的问题
- 缺少安全响应头、TLS 配置等加固建议（欢迎作为普通 issue 提出）
- 依赖的已知漏洞，且上游已有修复；请改用 Dependabot PR 或普通 issue
插件在 execution: "isolated" 模式下于独立子进程中运行，permissions 是路由准入
与前端可见性控制，不是 OS 沙盒。完整说明见
开发者指南 · 插件安全。
插件代码以所在进程的权限运行，请只安装来自可信来源的插件包。