Hacktoberfest 2026: die Issues, die Maintainer für den Oktober markiert haben – offen und einsteigerfreundlich. Hacktoberfest-Issues durchsuchen

[GHSA-5ghq-42rg-769x] [CVE-2026-35035] - Request for CVSS correction or clarification

Offen
  • Stimmt etwas nicht?
#7,371 1 Kommentar 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Maintainer antworten meist innerhalb von 1 Tag

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit
4/5
Geschätzter Aufwand
3-5 Tage
Anfängerfreundlichkeit
35/100
Issue-Typ
Bug
Klarheit
Größtenteils klar
Aktivitätsstatus
Ruhig
Tech-Stack
github
Bereich
security

Rechercherichtung

Beginne mit dem Advisory für CVE-2026-35035 und vergleiche dessen veröffentlichten CVSS-Vektor mit den im Issue verlinkten Leitlinien für CVSS v3.1 und v4.0. Bestätige, ob die vorgeschlagenen UI- und Auswirkungsmetriken gerechtfertigt sind; als erledigt gilt die Aufgabe, wenn der Advisory-Vektor oder seine Erklärung korrigiert oder die angeforderte Klarstellung bereitgestellt wurde.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Hi GitHub,

Our automated CVSS enrichment pipeline detected some discrepancies between GitHub's provided vector and ours. Since this also passed a GitHub review, I thought it would be helpful to share my insights here, so that the vector or its justification might be corrected. For reference, this was the output from our AI pipeline: https://graph.volerion.com/view?id=CVE-2026-35035.

For the current vector, UI:N was set rather than UI:R, likely due to the fact that the Cross-Site Scripting payload triggers on the main landing page, but that is still considered user interaction in CVSS terms. i.e. the attacker cannot exploit this at will and user participation is required in some manner. This was later clarified in the documentation for CVSS v4.

Additionally, impact represents the delta change in capabilities and an attacker with administrator access already has complete or near-complete control over their domain, so C:H/I:H/A:H seems like an impossible stretch.

My suggestion would be to change UI:N to UI:R and C:H/I:H/A:H to C:L/I:L/A:N, which is the higher-scoring impact group taken from the subsequent browser system, rather than the potential low-integrity repudiation impact suffered by the vulnerable system.

The final vector would then be:
https://volerion.com/cvss/3.1#vector=CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
which comes down to a base score of 4.8, a serious downgrade from 9.1.

Thanks!

Vorherrschende Sprache
Keine Sprachdaten
Sterne
2.5k
Forks
819
Ø Merge
5 T. 16 Std.
Gemergte PRs (30 T.)
56

Entwicklungsumgebung

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus github/advisory-database

Alle Issues in github/advisory-database

Ähnliche Issues

Weitere Issues zu Security

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.