Не создавайте публичный issue и не публикуйте proof of concept, если сообщение раскрывает уязвимость, ключи, пароли, токены, адреса серверов или данные пользователей.

Используйте кнопку Report a vulnerability в разделе Security репозитория, чтобы отправить приватный отчёт. Если такой кнопки нет, не раскрывайте детали в issue: сначала запросите у сопровождающего конфиденциальный канал через профиль владельца репозитория @ant-m13.

В отчёте укажите:

• затронутую версию IBStart и Windows;
• краткое описание воздействия;
• безопасные шаги воспроизведения;
• возможный способ исправления, если он известен.

Сообщения рассматриваются конфиденциально. После подтверждения проблемы будет подготовлено исправление, а автору отчёта будет сообщён план раскрытия информации.

Скачивайте IBStart только из официальных GitHub Releases и сверяйте SHA-256 из checksums.txt. Пароль в ibases.v8i допустим, но виден в файле и интерфейсе; ярлык IBStart сохраняет только идентификатор базы и не передаёт пароль в командной строке. Запуск с паролем, токеном или другим секретом не требует отдельного подтверждения: это осознанное решение продукта, поэтому доступ к файлу списка, профилю и рабочему столу Windows должен контролироваться пользователем. IBStart маскирует известные секреты в журналах и автоматически создаваемых диагностических сообщениях, но файл, интерфейс и явное копирование команды не считаются защищённым хранилищем.