安全修复只针对最新发布版本。请先确认问题在 main 分支或最新 release 上仍然存在。

不要通过公开 issue、讨论区或 PR 报告安全漏洞。

请使用 GitHub 的私密漏洞报告通道：

https://github.com/worable233/stackpanel/security/advisories/new

报告中请尽量包含：

• 受影响的版本、部署方式（Docker / PM2 / 集群）与相关配置
• 复现步骤或最小复现仓库
• 实际影响（越权、信息泄露、远程代码执行、拒绝服务等）与攻击前提
• 如果可以，附上修复建议

修复发布后我们会在 GitHub Security Advisory 中致谢（除非你希望匿名）。

下列问题属于安全漏洞范围：

• 认证、会话、API 凭证与权限校验缺陷（含越权与权限提升）
• 插件运行时隔离缺陷：跨插件数据访问、isolated worker 逃逸、RPC 协议绕过
• 插件/主题包签名与安装校验绕过
• 服务端请求伪造（SSRF）、注入、路径穿越、文件上传处理缺陷
• 敏感信息泄露：密钥、设置加密、审计日志、备份文件
• 影响可用性的拒绝服务（需可远程触发且有实际影响）

下列问题不在范围内：

• 由自托管环境配置错误导致的问题（例如直接把数据库或 Docker 端口暴露到公网）
• 用户自行安装的第三方插件内部的缺陷（请报告给该插件作者）
• 缺少安全响应头、TLS 配置、Cookie 标志等加固建议（欢迎作为普通 issue 提出）
• 依赖的已知漏洞，且上游已有修复；请改用 Dependabot PR 或普通 issue

插件执行模式、权限边界与隔离机制的完整说明见 开发者指南 · 信任模型与权限。

要点：生产环境第三方插件默认以 execution: "isolated" 在独立子进程中运行； permissions 是路由准入与前端可见性控制，不是 OS 沙盒。插件包应来自可信来源。