Hacktoberfest 2026: die Issues, die Maintainer für den Oktober markiert haben – offen und einsteigerfreundlich. Hacktoberfest-Issues durchsuchen

Need CVE auto-linking disambiguation to CVEs that belong to more than 1 project

Offen
  • Stimmt etwas nicht?
#2,869 3 Kommentare 1 Reaktion 0 zugewiesene Personen Auf GitHub ansehen

Maintainer antworten meist innerhalb von 1 Tag

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit
5/5
Geschätzter Aufwand
Über eine Woche
Anfängerfreundlichkeit
35/100
Issue-Typ
Feature
Klarheit
Größtenteils klar
Aktivitätsstatus
Veraltet
Tech-Stack
github
Bereich
security

Rechercherichtung

Prüfe zuerst die Beispiele zu CVE-2023-44487 und den verlinkten advisory-database PR #2860 und verfolge anschließend das bestehende Verhalten der automatischen CVE-Verlinkung; hier wird kein Einstiegspunkt für die Implementierung genannt. Erledigt ist die Aufgabe, wenn außerhalb von GitHub vergebene CVEs auf MITRE oder eine andere CVE-Datenbank verlinken statt auf ein nicht verwandtes GitHub-Advisory, während von GitHub vergebene Advisories ihre aktuellen Links behalten.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Description:

A CVE reference auto-linking should not link to a Github advisory if Github didn't assign the CVE ID (meaning the CVE came from somewhere else).
These kinds of CVE auto-linking should instead link to the MITRE (or other online CVE database) for that entry instead.
This will make it obvious that the CVE is bigger than the one project on github that is using the existing CVE id to update the impacted packages entries.

History:

The recent big CVE, CVE-2023-44487 (HTTP/2 Rapid Reset) was originally filed as a spec level CVE (against the HTTP/2 spec itself).

Over time, many projects have referenced CVE-2023-44487 in discussions, pull requests, issues, etc.

The use of CVE-2023-4487 auto-links to the https://github.com/advisories/GHSA-qppj-fm5r-hxr3 advisory, which is for a limited set of impacted packages on the swift-nio-http2 project. (see long listing of impacted packages at https://nvd.nist.gov/vuln/detail/CVE-2023-44487)
See concern brought up at https://github.com/github/advisory-database/pull/2860

This results in confusing links to an unrelated project and advisory.

Examples in Discussions:

Examples in Release Notes:

Examples in Issues:

Examples in PRs:

Vorherrschende Sprache
Keine Sprachdaten
Sterne
2.5k
Forks
772
Ø Merge
5 T. 5 Std.
Gemergte PRs (30 T.)
87

Entwicklungsumgebung

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus github/advisory-database

Alle Issues in github/advisory-database

Ähnliche Issues

Weitere Issues zu Security

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.