No abras un issue público. Usa el reporte privado de GitHub: pestaña Security, luego Report a vulnerability.

Incluye:

• qué encontraste y dónde,
• cómo reproducirlo,
• el impacto que crees que tiene.

Se confirma la recepción en un máximo de 7 días y se informa de la corrección cuando esté publicada.

• El sitio web y sus scripts.
• Las acciones de GitHub del registro y los ascensos.
• Cualquier forma de alterar el registro, las insignias o los permisos sin autorización.

Vulnerabilidades de GitHub como plataforma o de servicios de terceros. Repórtalas a sus responsables.