# Umgang mit Schwachstellen

1. Ein Fund erhält die OSV- oder CVE-ID, betroffene Komponente, Version, Plattform und Funddatum.
2. Es wird geprüft, ob die verwundbare Funktion im ausgelieferten Produkt erreichbar ist.
3. Bevorzugt wird auf eine korrigierte stabile Version aktualisiert und der vollständige Release-Ablauf erneut ausgeführt.
4. Ist dies nicht sofort möglich, werden Gegenmaßnahmen, Rest-Risiko, Verantwortlicher und verbindliches Ablaufdatum dokumentiert.
5. Eine Ausnahme wird in `security/vulnerability-exceptions.json` erfasst und muss vor Ablauf erneut bewertet werden.
6. Der Changelog-Eintrag nennt die Sicherheitskorrektur, ohne ausnutzbare vertrauliche Details offenzulegen.

Ein Scanner-Fund darf nicht lediglich gelöscht oder ausgeblendet werden. Eine abgelaufene oder unvollständige Ausnahme blockiert die Veröffentlichung.
