Issues with monorepo CVE reporting

Offen

#5,437 erstellt am 04.4.2025 1 Kommentar 1 Reaktion 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 5/5
Geschätzter Aufwand: Über eine Woche
Anfängerfreundlichkeit: 25/100

Issue-Typ: Feature
Klarheit: Muss geklärt werden
Aktivitätsstatus: Veraltet
Tech-Stack: python
Bereich: security

Rechercherichtung

Beginne mit der Prüfung des verlinkten llama-index-Monorepos und der referenzierten GHSA-Advisory-Änderung. Das Issue nennt keine Repository-Datei, keinen Test und keinen Einstiegspunkt. Kläre daher zunächst, wie die Paketzuordnung für Monorepos funktionieren soll, und definiere den Abschluss so, dass Advisories keine unabhängigen Pakete mehr melden.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Hey all!

Recently we've noticed that our python monorepo llama-index was flagged with a CVE (and there is likely more incoming in the future from huntr.com). While this is fine, GHSA seems to be incorrectly flagging our entire llama-index package for CVE's on completely different packages. This creates a lot of false noise for our users.

While I can open a PR to change this like this recently edited advisory I contributed here, it would be exhausting to keep up with this.

Is there a way that GHSA can better flag packages in our monorepo? Or will I have to change each one manually when they open?

Any help would be appreciated!

Vorherrschende Sprache: Keine Sprachdaten
Sterne: 2.5k
Forks: 772
Ø Merge: 4 T. 17 Std.
Gemergte PRs (30 T.): 75

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus github/advisory-database

GHSA-vxq2-vhm7-7mhq: expand fetch-page-assets affected versions beyond = 1.2.9 Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100

github/advisory-database#9255 · Erstellt am 28.8.2026
GHSA-2jcg-qqmg-46q6 monorepo-symlink-test placeholder version false positive Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100

github/advisory-database#9164 · 1 Reaktion · Erstellt am 19.8.2026
CVE-2026-5598 has incorrect fixed versions for bcprov-jdk packages Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100

github/advisory-database#8994 · Erstellt am 05.8.2026
GHSA-mh99-v99m-4gvg (brace-expansion): flat `<= 5.0.7` range misses backported fixes in 1.x, 2.x and 3.x Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100

github/advisory-database#8898 · 4 Kommentare · 1 Reaktion · Erstellt am 30.7.2026
LDAP Injection in CMAK (Cluster Manager for Apache Kafka) via Search Filter Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100

github/advisory-database#8841 · Erstellt am 28.7.2026

Alle Issues in github/advisory-database