正式发布后，安全修复仅保证提供给最新的 GitHub Release；更早版本和开发快照不保证继续获得修复。首次公开 Release 发布前，main 分支属于开发版本，不提供正式的安全支持承诺。
| 版本范围 | 安全更新 |
|---|---|
| 最新 GitHub Release | ✅ 支持 |
| 更早 Release | ❌ 不保证支持 |
main 及其他开发快照 |
❌ 不保证支持 |
请勿通过公开 Issue、Discussion、PR 或社交媒体发布真实漏洞的利用步骤、PoC、凭据、生产数据或尚未修复的技术细节。
首选通过 GitHub 的私有漏洞报告渠道提交：
如果该入口暂时不可用，请发送邮件至 408251965@qq.com，主题注明 [MarkShareX Security]。报告建议包含：
- 受影响版本或 commit；
- 受影响组件和部署方式；
- 可稳定复现的最小步骤；
- 实际影响与攻击前置条件；
- 已采取的临时缓解措施；
- 便于联系的方式。
请对日志、截图和请求样本中的 Token、Cookie、API Key、个人信息及业务数据进行脱敏。维护者确认修复并公开安全公告之前，请保持细节私密。
- 只测试你拥有或已获明确授权的系统和数据。
- 不进行拒绝服务、破坏性测试、社会工程、持久化驻留或不必要的数据访问。
- 在最小程度证明影响后停止测试，不下载、修改或传播无关数据。
- 遵守适用法律，并配合协调修复和披露。
维护者会先确认报告是否可复现及其影响范围，再协调修复、回归测试与披露时间。修复完成后，可在征得报告者同意的情况下在安全公告中致谢。
MarkShareX 是自托管软件。部署方仍需负责：
- 使用随机且长期固定的 JWT secret 和 encryption key；
- 及时更新 MarkShareX、操作系统、反向代理和容器基础镜像；
- 仅向必要来源开放管理接口，并正确配置可信代理和 CORS；
- 保护 SQLite 数据库、上传目录、备份、日志及第三方 API Key；
- 在生产环境启用 HTTPS，并定期验证备份可恢复性。