Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

False positive malware advisory for official astro@7.1.0 release

Abierto
#8,859 1 comentario 1 reacción 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
3/5
Tiempo estimado
1-2 días
Aptitud para principiantes
58/100
Tipo de issue
Error
Claridad
Bastante claro
Estado de actividad
Tranquilo
Stack tecnológico
javascript
Área
security

Línea de trabajo

Comienza comparando el aviso de GitHub GHSA-hpcx-pg6g-x697 con el registro OSV retirado en osv/withdrawn/npm/astro/MAL-2026-10726.json y el PR #1383 de OpenSSF enlazado. Confirma las pruebas de la retirada y rastrea cómo se representa el aviso en este repositorio; el trabajo estará terminado cuando el aviso de falso positivo ya no marque la versión oficial astro@7.1.0.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

GitHub advisory GHSA-hpcx-pg6g-x697 incorrectly classifies astro@7.1.0 as malicious.

The advisory claims that:

  • The legitimate Astro project is still on the v5.x release line
  • astro@7.1.0 impersonates the real package
  • obug, piccolore, and @astrojs/markdown-satteri are attacker-controlled typosquats

These claims are incorrect.

astro@7.1.0 is an official Astro release:

  • Official release: https://github.com/withastro/astro/releases/tag/astro%407.1.0
  • Official tag commit: fdd673cc193734d7818fe5ace39c86b9500b2754
  • The release commit has GitHub’s verified signature
  • The official package manifest declares version 7.1.0
  • The official manifest includes obug, piccolore, and @astrojs/markdown-satteri
  • The npm tarball integrity matches the official release

The dependencies are also legitimate:

Most importantly, the originating OpenSSF record has already been withdrawn as a false positive here.

The OpenSSF PR is titled “Remove false positive astro advisory.” The person who submitted the package on behalf of the Amazon researcher also commented:

Following @tolgaergin's rationale, I concur this was a false positive. Apologies for the inconvenience.

The withdrawn OSV record is here:

https://github.com/ossf/malicious-packages/blob/main/osv/withdrawn/npm/astro/MAL-2026-10726.json

It contains:

"withdrawn": "2026-07-17T08:42:02Z"

It appears GitHub imported or published the advisory after the originating record had already been withdrawn. This is currently causing npm audit to report a critical malware finding for a legitimate Astro release.

Lenguaje dominante
Sin datos de lenguaje
Estrellas
2.5k
Forks
772
Merge medio
3 d 15 h
PR fusionados (30 d)
46

Guía de contribución

Abrir la guía de contribución

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de github/advisory-database

Todos los issues de github/advisory-database

Issues similares

Más issues de Security

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.