Não abra issue pública para vulnerabilidades.

Use o canal privado do GitHub:

• Acesse https://github.com/Ronbragaglia/copa26/security/advisories/new
• Ou envie email para o autor (perfil GitHub: @Ronbragaglia)

Inclua, se possível:

• Descrição clara da falha
• Passos para reproduzir
• Versão afetada
• Impacto estimado

Responderemos em até 72 horas úteis com:

1. Confirmação do recebimento
2. Avaliação inicial
3. Plano de mitigação (patch e advisory)

copa26 é um CLI puramente local. Ele:

• ✅ Não faz requisições HTTP externas em runtime
• ✅ Não lê credenciais, tokens ou arquivos do sistema
• ✅ Não executa código dinâmico (sem eval, sem Function(...))
• ✅ Sanitiza todos os argumentos do CLI (regex /^[A-Za-z0-9-]+$/)
• ✅ Sanitiza todos os inputs antes de emitir SVG (escape XML)
• ✅ Publicado com npm provenance (verifique via npm view copa26 --json)
• ✅ Lockfile commitado, dependências auditadas semanalmente (Dependabot)
• ✅ CI executa CodeQL security-and-quality em todo PR e semanalmente

• Sempre instale uma versão fixa (copa26@0.1.0, e não copa26@latest)
• Em CI, use npm ci --ignore-scripts
• Em GitHub Actions, fixe a action por SHA, não por tag mutável
• Audite com npm audit regularmente

Obrigado por ajudar a manter copa26 seguro.