Envie email para security@weft.dev com:

• Descrição do problema
• Passos para reproduzir
• Impacto potencial
• Versão/commit afetado

Resposta em até 48h. Correção em até 30 dias para críticos.

• Testar em contas de terceiros sem autorização
• Exfiltrar dados
• Atacar produção
• Divulgar antes da correção

• apps/server
• packages/middleware
• packages/auth
• packages/db

Fora do escopo: dependências de terceiros.