Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

False positive: GHSA-hpcx-pg6g-x697 flags legitimate astro@7.1.0 as malware

Abierto
#8,871 1 comentario 0 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
4/5
Tiempo estimado
3-5 días
Aptitud para principiantes
45/100
Tipo de issue
Error
Claridad
Bien especificado
Estado de actividad
Tranquilo
Stack tecnológico
javascript
Área
security

Línea de trabajo

Empieza revisando el registro de GHSA, el PR 1383 vinculado de malicious-packages y las pruebas de procedencia de astro@7.1.0, incluido .github/workflows/release.yml. La tarea estará terminada cuando la base de datos de advisories confirme el falso positivo y retire el advisory tal como se solicitó.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

GHSA-hpcx-pg6g-x697 classifies the official astro@7.1.0 release as registry
impersonation malware. This is a false positive, and the upstream source has
already retracted it.

Evidence:

  1. The source entry (OSSF malicious-packages MAL-2026-10726) was removed as a
    false positive on 2026-07-22 via
    https://github.com/ossf/malicious-packages/pull/1383 — five days before this
    GHSA was published.

  2. astro@7.1.0 carries valid SLSA provenance tying the tarball to the
    withastro/astro GitHub Actions release workflow
    (.github/workflows/release.yml), published by the project's actual
    maintainers on 2026-07-16. The astro@7.1.0 git tag exists upstream.

  3. The advisory's own premise is outdated: it states Astro "is on the v5.x
    line". That was true in early 2025. Astro is currently on 7.1.x, with 7.1.6
    published as of 2026-07-29.

  4. The flagged dependencies are not typosquats. piccolore is maintained by
    delucis (Chris Swithinbank, Astro core maintainer, Starlight lead) and obug
    by sxzz (Kevin Deng, Vue core team). Both are clean: no network, no
    filesystem access, no child_process, no install scripts.

  5. npm has not unpublished or deprecated the package, and six further releases
    have shipped since.

Requesting this advisory be withdrawn to match the upstream retraction.

Lenguaje dominante
Sin datos de lenguaje
Estrellas
2.5k
Forks
772
Merge medio
3 d 15 h
PR fusionados (30 d)
46

Guía de contribución

Abrir la guía de contribución

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de github/advisory-database

Todos los issues de github/advisory-database

Issues similares

Más issues de Security

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.