0.10.x의 최신 공개 patch release와 다음 patch를 준비하는 main에 보안 수정을 제공한다.

공개 issue에 exploit, 개인 경로, 소스 코드 또는 다른 민감 정보를 올리지 않는다. GitHub 저장소의 Security → Report a vulnerability에서 private vulnerability report를 연다. 접수 후 7일 안에 확인하고, 영향과 수정 계획을 같은 private thread에서 갱신하는 것을 목표로 한다.

kartograph의 CLI와 Gradle plugin은 입력한 class file, source/resource tree, manifest, keep rule과 Git metadata를 로컬에서 읽는다. 자체 telemetry, analytics, crash upload 또는 network 전송은 하지 않는다. 빌드 도구가 dependency를 내려받거나 사용자가 CI artifact/report를 업로드하는 동작은 kartograph의 전송이 아니며 해당 환경의 정책을 따른다.

report에는 symbol 이름, 프로젝트 상대 source 경로, 줄 번호와 사용 관계가 들어갈 수 있다. SARIF, JSON, baseline, DOT 및 CI log는 소스 자체를 포함하지 않더라도 저장소 구조를 드러낼 수 있으므로 공개 artifact로 올리기 전에 검토한다. 오류 메시지는 의도적으로 절대경로를 피하지만 모든 third-party Gradle/JVM 오류의 출력까지 정제한다고 보장하지 않는다.

bridge-facts의 project 값은 .이고 fact 위치도 프로젝트 상대경로만 사용한다. 소비 도구가 report를 저장하거나 결합하면서 절대경로를 덧붙일 수 있으므로 최종 공개 artifact는 별도로 확인한다.

분석 대상은 신뢰된 build output이어야 한다. 조작된 class/JAR/resource를 처리하는 것은 보안 격리가 아니며, CLI를 sandbox로 취급해서는 안 된다.