Security patches and bug fixes are provided exclusively for the latest released version on a best-effort basis. Prior versions are not supported and do not receive maintenance or backported security updates.
| Version | Supported | Notes |
|---|---|---|
0.3.2 (Latest) |
✅ | Current release supported on a best-effort basis. |
< 0.3.2 |
❌ | Unsupported. Please upgrade to the latest release (0.3.2). |
We take the security of chatflow-agent seriously. If you discover a security vulnerability, never disclose it publicly in GitHub Issues, pull requests, discussions, or social media. Public issues are not a secure channel for reporting vulnerabilities.
Whenever enabled on this repository, the safest and preferred method to report a vulnerability is directly through GitHub Private Vulnerability Reporting:
- Navigate to the repository: github.com/GustavoBaranda/chatflow-agent.
- Click on the Security tab.
- Select Advisories on the left menu (or visit Security Advisories).
- Click Report a vulnerability to submit a private draft advisory directly to the maintainer.
If GitHub Private Vulnerability Reporting is unavailable or disabled, you may reach out to the project maintainer privately through their official GitHub profile: https://github.com/GustavoBaranda
Caution
Never open a public issue to report security vulnerabilities or sensitive security findings.
To help triage and resolve the issue effectively, please include as much detail as possible:
- Type of vulnerability (e.g., webhook bypass, credential exposure, denial of service, memory leak, unvalidated input).
- Affected component(s) (e.g.,
WhatsAppChannel,OpenAIEngine,Runner,SQLiteSessionStore). - Steps to reproduce or a minimal proof-of-concept (PoC) script.
- Potential security impact and how an attacker could exploit the issue.
- Any suggested mitigations or patches, if available.
Warning
Please do not include production secrets, live Meta access tokens, or private phone numbers in your report. Always use sanitized mock values.
chatflow-agent is an independent open-source project maintained primarily by its author. Security reports are handled on a best-effort basis according to maintainer availability without fixed SLAs:
- Acknowledgment: We strive to acknowledge receipt of your report as soon as practicable.
- Assessment: We will confirm the vulnerability, assess its impact, and coordinate remediation.
- Patch & Release: Once verified, a fix will be published in a new release on PyPI, accompanied by a GitHub Security Advisory crediting the reporter (unless anonymity is requested).
- Public Disclosure: Public disclosure takes place only after the fix has been released, allowing downstream users time to upgrade.
Los parches de seguridad y correcciones de errores se proporcionan exclusivamente para la última versión publicada bajo la modalidad de mejor esfuerzo (best-effort). Las versiones anteriores no cuentan con soporte ni reciben mantenimiento o parches retrocompatibles.
| Versión | Con Soporte | Notas |
|---|---|---|
0.3.2 (Última) |
✅ | Versión actual soportada bajo modalidad best-effort. |
< 0.3.2 |
❌ | Sin soporte. Actualiza a la última versión disponible (0.3.2). |
Nos tomamos muy en serio la seguridad de chatflow-agent. Si descubres una vulnerabilidad de seguridad, nunca la divulgues públicamente en GitHub Issues, pull requests, discusiones ni redes sociales. Los issues públicos no son un canal seguro para reportar vulnerabilidades.
Siempre que la funcionalidad se encuentre habilitada en el repositorio, la vía recomendada y más segura para reportar vulnerabilidades es a través del sistema de Reporte Privado de Vulnerabilidades de GitHub (GitHub Private Vulnerability Reporting):
- Ingresa al repositorio: github.com/GustavoBaranda/chatflow-agent.
- Haz clic en la pestaña Security (Seguridad).
- Selecciona Advisories (Avisos de seguridad) en el menú lateral izquierdo (o visita Avisos de Seguridad).
- Haz clic en Report a vulnerability para enviar un borrador privado directamente al mantenedor.
Si el reporte privado de vulnerabilidades de GitHub no estuviera disponible o habilitado, puedes ponerte en contacto de forma privada con el mantenedor a través de su perfil oficial de GitHub: https://github.com/GustavoBaranda
Caution
Nunca abras un issue público para reportar vulnerabilidades de seguridad ni hallazgos sensibles.
Para facilitar la evaluación y resolución del problema, incluye tantos detalles como sea posible:
- Tipo de vulnerabilidad (por ejemplo: evasión de firmas en webhooks, exposición de credenciales, denegación de servicio, fuga de memoria, entrada no validada).
- Componente(s) afectado(s) (por ejemplo:
WhatsAppChannel,OpenAIEngine,Runner,SQLiteSessionStore). - Pasos para reproducir o un script mínimo de prueba de concepto (PoC).
- Impacto potencial de seguridad y cómo un atacante podría explotar la debilidad.
- Mitigaciones o parches sugeridos, si los tienes disponibles.
Warning
Nunca incluyas secretos de producción, tokens reales de acceso de Meta ni números telefónicos privados en tu reporte. Utiliza siempre valores ficticios sanitizados.
chatflow-agent es un proyecto open source independiente desarrollado y mantenido principalmente por su autor. Los reportes se gestionan bajo la modalidad de mejor esfuerzo (best-effort) según la disponibilidad del mantenedor, sin acuerdos de nivel de servicio (SLA) fijados:
- Acuse de recibo: Procuramos responder confirmando la recepción del reporte tan pronto como resulte factible.
- Evaluación: Confirmaremos la vulnerabilidad, determinaremos su severidad y coordinaremos las medidas correctivas.
- Parche y Publicación: Una vez verificado el parche, se publicará una nueva versión en PyPI, acompañada de un aviso de seguridad en GitHub acreditando a quien lo reportó (salvo que solicite anonimato).
- Divulgación Pública: La divulgación pública se realizará únicamente después de que el parche esté disponible, dando tiempo a los usuarios para actualizar sus entornos.
¡Gracias por ayudar a mantener seguro a chatflow-agent y a su comunidad!