请通过 GitHub 的私密安全报告(Security 页 → Report a vulnerability)提交,不要开公开 issue 或在 PR 中讨论漏洞细节。收到报告后会尽快确认与修复;修复发布后在 release notes 中致谢报告者(除非要求匿名)。