Публичный issue — плохая идея, если проблема позволяет обойти защиту, повысить права или выполнить код.

1. Открой приватный advisory: Security → Advisories → New draft security advisory.
2. Опиши: версию, шаги, влияние, минимальный PoC.
3. Дай 7–14 дней на исправление до публикации.

Что считается уязвимостью:

• обход автодействий или карантина;
• повышение прав через службу/задачу/IPC;
• подмена пути или DLL, приводящая к выполнению кода;
• утечка данных из отчётов за пределы машины;
• отказ в обслуживании самого сканера.

Что не считается:

• срабатывание Defender/SmartScreen на неподписанный exe (см. FAQ);
• необходимость прав администратора для действий с HKLM и службами;
• ложные срабатывания эвристики — это False positive.

• Ответ в течение 72 часов.
• Публичное упоминание в CHANGELOG, если не просил анонимность.
• Никакой телеметрии и сетевых вызовов в приложении — это можно проверить по исходникам.