请通过 GitHub 的私密安全报告（Security 页下的 Report a vulnerability 入口）提交，不要开公开 issue 或在 PR 中讨论漏洞细节。收到报告后会尽快确认与修复。修复发布后在 release notes 中致谢报告者（除非要求匿名）。