Bugs und Feature-Requests sind besser als Issues aufgehoben, wo die Antwort für alle lesbar bleibt, die auf dasselbe stoßen.
Sicherheitsmeldungen laufen über GitHubs private Vulnerability-Meldung, nicht über diese Adresse und nicht über ein öffentliches Issue: Eine Meldung, die im Postfach einer einzelnen Person landet, wartet auf diese Person.