# Security Policy

## Поддерживаемые версии

Исправления безопасности выходят для последней минорной версии.

## Как сообщить об уязвимости

**Не создавайте публичный issue.** Напишите на `security@totmin.ru` и укажите:

- описание уязвимости и потенциальное влияние;
- шаги воспроизведения или PoC;
- затронутые версии/пакеты;
- по желанию — предлагаемое исправление.

Мы подтвердим получение в течение нескольких рабочих дней и согласуем сроки
раскрытия после выпуска исправления.

## Область

forge-toolkit — библиотека хелперов; она не выполняет ввод-вывод сама по
себе. Уязвимости домена (политики доступа, jail, SQL-guard) относятся к
конкретным MCP-серверам, построенным на тулките, и рассматриваются в их
репозиториях. В этом репозитории рассматриваются проблемы самого тулкита:
парсинг аргументов/схем/конфигов, экспансия `${VAR}`, probe-протокол.