보안 취약점은 공개 이슈로 올리지 않는 것을 권장합니다.
아래 내용을 정리해서 admin@wwiz.kr 으로 보내 주세요.
- 재현 방법
- 영향 범위
- 예상 악용 시나리오
- 임시 완화책이 있으면 함께 정리
이메일 외에 GitHub 저장소의 Security Advisories 기능을 통해서도 비공개 신고가 가능합니다.
이 정책은 저장소에 포함된 모든 구성 요소에 적용됩니다.
- Core (
src/) - Package (
packages/Board,packages/Shop) - Plugin (
plugins/*)
| 단계 | 목표 기간 |
|---|---|
| 접수 확인 | 영업일 기준 3일 이내 |
| 재현 및 심각도 판단 | 접수 확인 후 7일 이내 |
| 수정 배포 | 심각도에 따라 — Critical/High: 14일, Medium/Low: 다음 정기 릴리스 |
- 일반 버그 리포트
- 문서 오류
- 설치 가이드 보완
- 보안과 직접 관련 없는 설정 문제
- 실제 토큰, 키, 비밀번호가 포함된 내용
- 재현 가능한 공격 절차
- 운영 환경 URL, 관리자 계정, 내부 인프라 정보
- 취약점 확인 후 재현 가능 여부를 먼저 검토합니다.
- 수정이 준비되기 전에는 세부 악용 정보 공개를 미룹니다.
- 수정 후에는 필요한 범위에서 원인과 대응 내용을 문서화합니다.
- 신고자에게는 수정 완료 시 별도로 안내합니다.