Wingman работает внутри вошедшего аккаунта FunPay, поэтому к уязвимостям мы относимся серьёзно.

Не открывайте публичную задачу. Напишите приватно через форму на GitHub («Security» - «Report a vulnerability»).

Опишите, что можно сделать через уязвимость, на какой версии и как это повторить. Не прикладывайте чужие данные и не проверяйте уязвимость на чужих аккаунтах.

Мы ответим в течение 3 дней, а исправление выпустим как можно быстрее. После выпуска исправления опишем уязвимость публично и, если вы не против, укажем вас.

• Утечка данных пользователя за пределы браузера: cookie, переписки, реквизитов, токена Telegram-бота.
• Выполнение чужого кода на страницах FunPay через Wingman, например через текст сообщения, ник или название лота.
• Действие от имени пользователя, которое он не запускал: отправка сообщения, правка лота, вывод денег.

Исправления выходят только для последней версии. Обновляйтесь из магазина расширений или со страницы Releases.