[GHSA-cj4v-437j-jq4c] [CVE-2026-25921] - Request for CVSS correction or clarification
Dieses Issue hat noch niemand übernommen.
Bewertung
- Schwierigkeit
- 4/5
- Geschätzter Aufwand
- 3-5 Tage
- Anfängerfreundlichkeit
- 45/100
- Issue-Typ
- Bug
- Klarheit
- Größtenteils klar
- Aktivitätsstatus
- Ruhig
- Bereich
- security
Rechercherichtung
Überprüfe den aktuellen CVSS-Vektor des Advisory anhand des vorgeschlagenen CVSS:3.1-Vektors und des verlinkten FIRST CVSS v3.1 user guide. Überprüfe die Begründung für Scope, Complexity, User Interaction und Availability und dokumentiere den korrigierten Score oder wende ihn an, falls die Analyse dies unterstützt.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Beschreibung
Hi GitHub,
Our automated CVSS enrichment pipeline detected some discrepancies between GitHub's provided vector and ours. Since this also passed a GitHub review, I thought it would be helpful to share my insights here, so that the vector or its justification might be corrected. For reference, this was the output from our AI pipeline: https://graph.volerion.com/view?id=CVE-2026-25921.
For the current vector, Scope is Changed (S:C), due to the stated supply-chain attack vector, but I believe this to be secondary impact that an attacker cannot expect to achieve for all or most instances of an attack against this product. Otherwise, including that 'appendage' would increase attack complexity via either AC (an automated system must later pull and utilize the poisoned source) or UI (a user does the same).
Additionally, A:L may have been set due to a common misconception regarding Availability impact. The vulnerable system is still fully available, albeit serving different content than intended, and therefore directly suffers a serious loss of integrity only.
The final vector would then be:
https://volerion.com/cvss/3.1#vector=CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
With a changed base score from 9.3 to 7.5.
Thanks!
- Vorherrschende Sprache
- Keine Sprachdaten
- Sterne
- 2.5k
- Forks
- 772
- Ø Merge
- 3 T. 15 Std.
- Gemergte PRs (30 T.)
- 46
Beitragsleitfaden
Erste Schritte
- Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
- Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
- Forken Sie das Repository und arbeiten Sie in einem Branch.
- Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.
Mehr aus github/advisory-database
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100
github/advisory-database#9255 ·
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100
github/advisory-database#9164 · 1 Reaktion ·
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100
github/advisory-database#8994 ·
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100
github/advisory-database#8898 · 4 Kommentare · 1 Reaktion ·
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100
github/advisory-database#8841 ·
Alle Issues in github/advisory-database
Ähnliche Issues
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 75/100
-
oblt-aw/detector/security
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 70/100
-
setup tools wizard offers no GitHub auth path, and setup summary doesn't recognize `gh` CLI auth Offenarea/auth comp/cli P3 tool/skills type/bug
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 75/100
NousResearch/hermes-agent#121131 ·
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 75/100
trailofbits/skills#330 ·
-
accepted
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 75/100