Репозиторий публичный, «версии» в классическом смысле не выпускаются: актуальное состояние всегда лежит в ветке main. Исправления безопасности попадают в main первым делом.

Не открывайте публичный issue для уязвимостей — используйте GitHub Security Advisory (приватный канал) или Telegram @StintikVPN.

В сообщении укажите:

• что именно не работает как задумано;
• шаги воспроизведения;
• версию или коммит, в котором это наблюдается;
• оценку влияния (кто может это эксплуатировать).

Сроки реакции: подтверждение получения — в течение 3 рабочих дней, исправление или отказ с объяснением — в течение 14 дней.

• Подмена или подстановка данных, которые пользователь копирует в VPN-клиент.
• Внедрение произвольного кода через страницу сайта или через docs/data.json.
• Обход проверки ссылок, из-за которого в репозиторий попадают мёртвые или вредоносные адреса.
• Несанкционированный доступ к секретам, используемым в CI (GitHub Secrets, TG_BOT_TOKEN, TG_CHAT_ID, адреса зеркал).

Репозиторий содержит только статический сайт. Cloudflare Worker, который принимал POST-запросы Telegram, в этот репозиторий не входит и не разворачивается из него. Если такой воркер где-то ещё работает, его нужно защищать отдельно: проверка заголовка X-Telegram-Bot-Api-Secret-Token с сравнением постоянного времени — обязательный минимум.

Бесплатные конфиги берутся из открытых источников и не гарантируют безопасность. Не передавайте через них пароли, данные банковских карт и не авторизуйтесь в критичных сервисах.