Atualizações e correções de segurança são fornecidas para os releases mais recentes:

Levamos a segurança e a integridade do ACL Auditor muito a sério.

Se você identificou uma potencial vulnerabilidade de segurança (como falha no cálculo de acesso efetivo, estouro de buffer, injeção na geração de scripts ou alteração involuntária de permissões em disco):

1. NÃO divulgue publicamente a vulnerabilidade através de issues ou discussões abertas.
2. Submeta o reporte de forma privada através do recurso GitHub Security Advisories na aba Security do repositório ou contate o mantenedor diretamente via e-mail (linceu_lighthouse@outlook.com).
3. Por favor, inclua em seu relato:
   • Descrição detalhada da vulnerabilidade;
   • Passo a passo para reprodução, comandos PowerShell ou amostras de SDDL;
   • Vetor de ataque e impacto potencial estimado;
   • Sugestões de correção ou mitigação, caso possua.

• O mantenedor envidará os melhores esforços para analisar e confirmar o recebimento de reportes de vulnerabilidade em tempo hábil, considerando a natureza estritamente voluntária e educacional da manutenção do projeto.
• Realizaremos uma avaliação técnica inicial e estimaremos o prazo de correção.
• Após a correção, um patch de segurança será publicado e os créditos devidamente atribuídos em coordenação com o pesquisador.

• 100% Autônomo, Local e Offline: A aplicação jamais envia caminhos de arquivos, nomes de usuários, SIDs ou vulnerabilidades encontradas através da rede.
• Garantia Estrita de Somente Leitura: Varreduras e auditorias não modificam descritores de segurança, permissões NTFS ou o estado do sistema.
• Remediação Não-Destrutiva: Scripts gerados exigem backup prévio obrigatório (icacls /save) e geram comandos de restauração imediata (icacls /restore).

Security updates are provided for the latest releases:

We take the security and integrity of ACL Auditor very seriously.

If you believe you have discovered a security vulnerability in ACL Auditor (such as an incorrect effective-access calculation, buffer overflow, injection in script generation, or unintended modification of file permissions):

1. Do NOT report security vulnerabilities through public GitHub issues or discussions.
2. Report the vulnerability privately via GitHub Security Advisory under the repository's Security tab or contact the maintainer directly via email (linceu_lighthouse@outlook.com).
3. Please include:
   • A detailed description of the vulnerability.
   • Exact steps to reproduce, sample files, or PowerShell / SDDL test cases.
   • The potential impact and attack vector.
   • Any suggested mitigations or patches.

• The maintainer will make best efforts to acknowledge receipt and evaluate vulnerability reports in a timely manner, given the voluntary and educational nature of project maintenance.
• We will provide an initial assessment and estimated remediation timeline.
• Once fixed, a security release will be tagged and public disclosure coordinated with the reporter.

• 100% Local-First & Offline: The application never transmits audited files, SIDs, usernames, or vulnerability findings over the network.
• Read-Only Guarantee: Audits and scans do not modify file descriptors, DACLs, or system state.
• Non-Destructive Remediation: Scripts generated by the remediation engine enforce pre-modification backups and include rollback routines.