本ドキュメントは、
WISTA プロジェクトにおける セキュリティ上の問題・脆弱性の報告方法 を定めたものです。

プロジェクトと利用者を守るため、
以下の方針に従ってご報告をお願いします。

以下は 脆弱性報告の対象 となります。

• XSS / CSRF / SSRF 等の Web 脆弱性
• 認証・認可に関する問題
• API の不正利用につながる問題
• 情報漏洩につながる不具合
• 任意コード実行・権限昇格につながる問題
• セキュリティ上の設計ミス

以下は原則として 対象外 です。

• 外部 API / サービス側の仕様・制限
• 利用者の設定ミスによる問題
• 各国法令・利用規約に起因する問題
• 単なる機能要望・UI 改善提案
• DoS を目的とした過剰アクセスの検証

脆弱性を発見した場合、
公開 Issue を作成しないでください。

以下のいずれかの方法で、
非公開での報告 をお願いします。

• メール: wista-project@outlook.jp
• GitHub Issue（※非公開希望の旨を明記してください）

可能な範囲で、以下を記載してください。

• 脆弱性の概要
• 再現手順
• 影響範囲
• 想定されるリスク
• 使用環境（ブラウザ / OS / バージョン等）
• 参考情報・スクリーンショット（任意）

• 報告内容を確認後、可能な限り対応します
• すべての報告に即時対応できるとは限りません
• 影響度・再現性を考慮して優先度を決定します
• 修正完了後、必要に応じてリリースノートで言及します

以下の行為は禁止します。

• 修正前の脆弱性を公開・拡散する行為
• 悪用コードの公開
• SNS 等での無断公開

修正前の公開は、
利用者・プロジェクト双方に重大な被害を与える可能性があります。

WISTA は、
善意のセキュリティ報告を歓迎します。

• 報告者を非難しません
• 法的措置を目的とした運用は行いません
• 誠実な報告には誠実に対応します

ただし、
悪意ある行為・脅迫・金銭要求を伴う報告には対応できません。

本ポリシーは、
Wista 非商用コピーレフト・事前通知義務ライセンス（WNCCL-PN）
の条件を変更・緩和するものではありません。

セキュリティは、
開発者だけでなく コミュニティ全体で守るもの です。

ご協力に感謝します。