Some issues with data degradation between upstream, CVE and NVD, then Gihub, OSV and Gitlab
Maintainer antworten meist innerhalb von 1 Tag
Dieses Issue hat noch niemand übernommen.
Bewertung
- Schwierigkeit
- 4/5
- Geschätzter Aufwand
- 3-5 Tage
- Anfängerfreundlichkeit
- 50/100
Rechercherichtung
Im Issue sind keine bestimmten Dateien oder Tests genannt. Beginne damit, die VulnerableCode-Ingestion-Pipeline für externe Advisory-Quellen (MITRE/NVD/GitHub/OSV/GitLab) und den Feldnormalisierungsschritt nachzuverfolgen, in dem Titel, PURLs und CPEs zusammengeführt werden. Reproduziere das Problem, indem du überprüfst, wie CVE-2026-50628 in jeder Phase dargestellt wird, insbesondere an der Stelle, an der breitere CPE-Daten präzise Maven-Artefaktdaten ersetzen. Als erledigt gilt die Aufgabe, wenn das normalisierte Advisory den korrekten Paketumfang beibehält und nicht auf generische/falsche Produktmetadaten zurückfällt.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Beschreibung
Some ASF projects are seeing their CVE records appearing mangled in GitHub Advisories, but this is only a symptom of a deeper problem and not specific to the ASF. Thanks for @ppkarwasz for the details
An example is CVE-2026-50628 (disclosed on June 12th), which has a CVSS score of 9.8, and is only present in that PURL pkg:maven/org.apache.cxf/cxf-rt-rs-security-oauth2 and not in the whole CXF codebase.
Here are some background:
-
at MITRE: https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/50xxx/CVE-2026-50628.json or https://www.cve.org/CVERecord?id=CVE-2026-50628 have Maven coordinates properly provided at least in the name
-
at NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-50628 or https://github.com/olbat/nvdcve/blob/master/nvdcve/CVE-2026-50628.json if the NVD is down. See rough history at https://github.com/fkie-cad/nvd-json-data-feeds/commits/main/CVE-2026/CVE-2026-506xx/CVE-2026-50628.json
- initial record mostly empty when pulled from MITRE https://github.com/fkie-cad/nvd-json-data-feeds/blob/bde8d216748790cf40fc461aa9e9351dd7c06e96/CVE-2026/CVE-2026-506xx/CVE-2026-50628.json
- on June 15th, update to add an incorrect CPE, too wide cpe:2.3🅰️apache:cxf, a product with dozens of different artifacts, and not the actual package that is affected https://github.com/fkie-cad/nvd-json-data-feeds/blob/c8e589f587fe50f16712ebc10079e4fde00a1210/CVE-2026/CVE-2026-506xx/CVE-2026-50628.json#L49
- on June 17th, update to get more data from the CVE record with better data https://github.com/fkie-cad/nvd-json-data-feeds/blob/644f9fc5bd0a10688470dc004d55d76098d99f56/CVE-2026/CVE-2026-506xx/CVE-2026-50628.json but the CPE is still wrong.
- On top of that, RedHat later adds CPE-keyed, VEX-like statements of whether their larger products are affected or not https://github.com/fkie-cad/nvd-json-data-feeds/blob/2dd45b48e0efa0fde64742f95da829dc45ea506c/CVE-2026/CVE-2026-506xx/CVE-2026-50628.json
-
at Github: https://github.com/advisories/ghsa-g5v7-jchf-7jrr is initially published with mostly nothing known, no title, no artifact, no affected ranges, and 2 months later still is the same https://github.com/github/advisory-database/blob/dbc1435941d42e394de655b8e344b1aab124a9a4/advisories/unreviewed/2026/06/GHSA-g5v7-jchf-7jrr/GHSA-g5v7-jchf-7jrr.json
Then OSV and GitLab
- Since this is "unreviewed" at Github, Gitlab ignores that advisory https://gitlab.com/search?search=CVE-2026-50628&nav_source=navbar&project_id=12006272&group_id=2452873&search_code=true&repository_ref=master
- The OSV pulls from GitHub and separately from Mitre that was backfilled with the same infor as NVD keeping the incorrect historical CPE published by the NVD https://osv.dev/vulnerability/CVE-2026-50628 and diluting the data further
- Vorherrschende Sprache
- Python
- Sterne
- 716
- Forks
- 347
- Ø Merge
- 12 Std. 15 Min.
- Gemergte PRs (30 T.)
- 9
Entwicklungsumgebung
- Enthält ein Dockerfile oder eine Docker-Compose-Datei
- Keine Pull-Request-Vorlage
- Kein Beitragsleitfaden
Erste Schritte
- Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
- Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
- Forken Sie das Repository und arbeiten Sie in einem Branch.
- Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.
Mehr aus aboutcode-org/vulnerablecode
-
OSV parser drops all crates.io affected entries because the ecosystem mapping uses cargoEvtl. vergeben @Ashutosh-Panda2004 hat das vor 3 Tagen übernommen. Offen
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 76/100
aboutcode-org/vulnerablecode#2485 · 1 Kommentar ·
Maintainer antworten meist innerhalb von 1 Tag
-
Docker Compose setup fails on wait-for-it host web:8000 and missing runtime .envEvtl. vergeben @Anurag-S1ngh hat das vor 6 Tagen übernommen. Offen
Schwierigkeit 2/5 Ein halber Tag Anfängerfreundlichkeit 77/100
aboutcode-org/vulnerablecode#2477 · 1 Kommentar ·
Maintainer antworten meist innerhalb von 1 Tag
-
OVAL parser corrupts version bounds when the epoch is 10, 20 or the version contains "0:"Evtl. vergeben @Ashutosh-Panda2004 hat das vor 4 Tagen übernommen. Offen
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 76/100
aboutcode-org/vulnerablecode#2474 · 1 Kommentar ·
Maintainer antworten meist innerhalb von 1 Tag
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 86/100
aboutcode-org/vulnerablecode#2426 ·
Maintainer antworten meist innerhalb von 1 Tag
-
Get NuGet package versions from federated PURL version data in https://github.com/aboutcode-data/Evtl. wieder frei @Anshi321 hat das vor 25 Tagen übernommen, und es ist kein Pull Request offen. Offenbug data-quality
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100
aboutcode-org/vulnerablecode#2418 · 4 Kommentare ·
Maintainer antworten meist innerhalb von 1 Tag
Alle Issues in aboutcode-org/vulnerablecode
Ähnliche Issues
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 76/100
pytest-dev/pytest-html#1085 ·
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 90/100
pollen-robotics/reachy_mini#1527 ·
Maintainer antworten meist innerhalb von 1 Tag
-
Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 66/100
Maintainer antworten meist innerhalb von 2 Tagen
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100
Maintainer antworten meist innerhalb von 1 Tag
-
A seed and its negative give the same run, so realizations of a negative seed repeat each otherOffen
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 66/100
Maintainer antworten meist innerhalb von 1 Tag