[GHSA-8ffj-4hx4-9pgf] [CVE-2026-39413] - Request for CVSS correction or clarification
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 4/5
- Tiempo estimado
- 3-5 días
- Aptitud para principiantes
- 42/100
- Tipo de issue
- Error
- Claridad
- Bastante claro
- Estado de actividad
- Tranquilo
- Área
- security
Línea de trabajo
Comienza con el aviso CVE-2026-39413 y compara su vector CVSS actual con los detalles del ataque descritos en el issue y con la referencia CVSS vinculada. Verifica las afirmaciones sobre la falsificación de JWT sin autenticación y el impacto sobre los administradores; se considera terminado cuando se hayan corregido el vector y la justificación del aviso, o cuando se haya documentado que la evaluación existente es correcta.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Hi GitHub,
Our automated CVSS enrichment pipeline detected some discrepancies between GitHub's provided vector and ours. Since this also passed a GitHub review, I thought it would be helpful to share my insights here, so that the vector or its justification might be corrected. For reference, this was the output from our AI pipeline: https://graph.volerion.com/view?id=CVE-2026-39413.
The current vector states AC:H, PR:H, UI:R, but an actual attack seems to involve only an unauthenticated attacker forging a valid JWT via a 'none' algorithm, therefore encountering none of those exploitation barriers.
Additionally, I would make the point that C:H/I:N/A:N is best changed to C:H/I:H/A:N to better reflect the potential administrator access an attacker might obtain after successful exploitation.
This comes down to a final vector of:
https://volerion.com/cvss/3.1#vector=CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
A pretty steep upgrade from a base score of 4.2 to 9.1.
I have hundreds more in the pipeline for 2026 alone, but unfortunately, I don't have the bandwidth to go through them all of them in this manner. Feel free to email me at karel@volerion.com and perhaps we can work out a more streamlined method of setting the records straight.
Thanks!
- Lenguaje dominante
- Sin datos de lenguaje
- Estrellas
- 2.5k
- Forks
- 772
- Merge medio
- 3 d 15 h
- PR fusionados (30 d)
- 46
Guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de github/advisory-database
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
github/advisory-database#9255 ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
github/advisory-database#9164 · 1 reacción ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
github/advisory-database#8994 ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
github/advisory-database#8898 · 4 comentarios · 1 reacción ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
github/advisory-database#8841 ·
Todos los issues de github/advisory-database
Issues similares
-
Add a SECURITY.md Abierto
Dificultad 1/5 Menos de una hora Aptitud para principiantes 90/100
ElementsProject/cln-application#167 · 1 comentario · 1 reacción ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100
confident-ai/deepteam#289 ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100
-
Security advisory for wasmtime Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100
VirusTotal/yara-x#780 ·