Lumen находится в активной разработке. Исправления безопасности выпускаются в main; отдельной LTS-ветки и обещанного срока поддержки старых коммитов пока нет. Для развёртывания фиксируйте проверенный SHA образа и следите за изменениями.

Не публикуйте эксплойт, реальные данные и секреты в открытом issue. Если на вкладке Security доступна кнопка Report a vulnerability, используйте её для закрытого сообщения. Если закрытый канал недоступен, создайте issue только с просьбой предоставить приватный канал, без технических подробностей уязвимости.

В закрытом сообщении укажите затронутый commit, конфигурацию, минимальные шаги воспроизведения, ожидаемую границу доступа и возможное влияние. Используйте синтетические данные. Проверяйте только экземпляры, на тестирование которых у вас есть разрешение.

• По умолчанию локальный бинарник слушает 127.0.0.1, без авторизации. В контейнере адрес — 0.0.0.0. Перед сетевым доступом настройте токен или OIDC и HTTPS.
• OIDC ограничивает вход, но не разделяет данные внутри vault: допущенные пользователи имеют общий доступ. Проектные ACL пока планируются.
• Шифрование защищает содержимое файлов на диске; имена, пути, размеры и время изменения видимы. Работающий сервер расшифровывает данные в памяти.
• Ссылки на секреты могут содержать внутренние адреса и имена записей. Даже без пароля конфигурация не обязательно подходит для публичного репозитория.
• command: запускает настроенную администратором команду для получения секрета. Принимайте такую конфигурацию только из доверенного источника.
• Стандартный образ не содержит CLI Bitwarden/KeePass. Не добавляйте секреты в образ; передавайте их через конфигурацию окружения или файлы секретов.

Подробнее: авторизация, шифрование, секреты, эксплуатация.