¿Cómo puedo informar las vulnerabilidades de seguridad para aplicaciones OSX de código abierto?

Puede comunicarse con Apple sobre este tema en [email protected] (o puede abrir un informe de Radar si es un desarrollador), o puede ponerse en contacto con el responsable del paquete.
A menudo, las direcciones de correo electrónico se pueden encontrar en el archivo README (o AUTORES) del código fuente, o en el sitio web del proyecto.

Sí: tanto Apple (específicamente) como los desarrolladores de código abierto (en general) hacen referencia al CVE en los correos electrónicos de parches y seguridad y participan utilizando ese mecanismo para rastrear las vulnerabilidades informadas.

La postura de seguridad oficial de Apple es Seguridad de productos de Apple .

Pero diría que lo mejor sería enviar vulnerabilidades a través de Apple Bug Reporter y su dirección de correo electrónico de seguridad del producto. Además, si la parte con la vulnerabilidad es un proyecto de código abierto, también debe notificar al proyecto de código abierto.

El procedimiento para reportar vulnerabilidades de seguridad varía, pero el lugar para informar sería directamente al proyecto de código abierto. Si la aplicación está alojada en la tienda de aplicaciones, puede informar directamente a Apple.