False positive malware advisory for official astro@7.1.0 release
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 3/5
- Tiempo estimado
- 1-2 días
- Aptitud para principiantes
- 58/100
- Tipo de issue
- Error
- Claridad
- Bastante claro
- Estado de actividad
- Tranquilo
- Stack tecnológico
- javascript
- Área
- security
Línea de trabajo
Comienza comparando el aviso de GitHub GHSA-hpcx-pg6g-x697 con el registro OSV retirado en osv/withdrawn/npm/astro/MAL-2026-10726.json y el PR #1383 de OpenSSF enlazado. Confirma las pruebas de la retirada y rastrea cómo se representa el aviso en este repositorio; el trabajo estará terminado cuando el aviso de falso positivo ya no marque la versión oficial astro@7.1.0.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
GitHub advisory GHSA-hpcx-pg6g-x697 incorrectly classifies astro@7.1.0 as malicious.
The advisory claims that:
- The legitimate Astro project is still on the v5.x release line
- astro@7.1.0 impersonates the real package
- obug, piccolore, and @astrojs/markdown-satteri are attacker-controlled typosquats
These claims are incorrect.
astro@7.1.0 is an official Astro release:
- Official release: https://github.com/withastro/astro/releases/tag/astro%407.1.0
- Official tag commit: fdd673cc193734d7818fe5ace39c86b9500b2754
- The release commit has GitHub’s verified signature
- The official package manifest declares version 7.1.0
- The official manifest includes obug, piccolore, and @astrojs/markdown-satteri
- The npm tarball integrity matches the official release
The dependencies are also legitimate:
- obug is maintained at https://github.com/sxzz/obug
- piccolore is maintained at https://github.com/delucis/piccolore
- @astrojs/markdown-satteri is maintained in the official Astro monorepo
- Astro’s v7 release notes explicitly document making Sätteri the default Markdown processor
Most importantly, the originating OpenSSF record has already been withdrawn as a false positive here.
The OpenSSF PR is titled “Remove false positive astro advisory.” The person who submitted the package on behalf of the Amazon researcher also commented:
Following @tolgaergin's rationale, I concur this was a false positive. Apologies for the inconvenience.
The withdrawn OSV record is here:
https://github.com/ossf/malicious-packages/blob/main/osv/withdrawn/npm/astro/MAL-2026-10726.json
It contains:
"withdrawn": "2026-07-17T08:42:02Z"
It appears GitHub imported or published the advisory after the originating record had already been withdrawn. This is currently causing npm audit to report a critical malware finding for a legitimate Astro release.
- Lenguaje dominante
- Sin datos de lenguaje
- Estrellas
- 2.5k
- Forks
- 772
- Merge medio
- 3 d 15 h
- PR fusionados (30 d)
- 46
Guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de github/advisory-database
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
github/advisory-database#9255 ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
github/advisory-database#9164 · 1 reacción ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
github/advisory-database#8994 ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
github/advisory-database#8898 · 4 comentarios · 1 reacción ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
github/advisory-database#8841 ·
Todos los issues de github/advisory-database
Issues similares
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
-
oblt-aw/detector/security
Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100
-
setup tools wizard offers no GitHub auth path, and setup summary doesn't recognize `gh` CLI auth Abiertoarea/auth comp/cli P3 tool/skills type/bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
NousResearch/hermes-agent#121131 ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
trailofbits/skills#330 ·
-
accepted
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100