CVE-2026-59083 not returned by /v1/query for affected package pkg:maven/org.apache.tomcat.embed/[email protected]
Los mantenedores suelen responder en 1 día
@michaelkedar ya está trabajando en esto.
Desde el 15/9/2026.
Evaluación
Este issue todavía no se ha evaluado.
Descripción
The record itself (GET /v1/vulns/CVE-2026-59083) correctly lists the affected range as 11.0.0-M1 through 11.0.23:
{
"id": "CVE-2026-59083",
"summary": "Apache Tomcat: Incorrect URL decoding in RewriteValve may allow security control bypass",
...
"affected": [
{"introduced": "11.0.0-M1"}, {"last_affected": "11.0.23"},
...
]
}
But querying by package+version does not return it:
POST /v1/query
{"package":{"purl":"pkg:maven/org.apache.tomcat.embed/[email protected]"}}
returns 10 other Tomcat CVEs affecting the same package/version (GHSA-2827-2mxx-j8pv and others), but not CVE-2026-59083, even though 11.0.21 falls squarely inside the record's own stated affected range.
Reproduced with osv-scanner (queries the same endpoint) and independently with trivy (own DB) — both miss this specific CVE for [email protected] while correctly surfacing the other 10 Tomcat CVEs on the identical artifact.
Looks like an indexing/linking gap between the record and the package-version query index, rather than a data issue in the record itself. Happy to provide the full purl list / more repro details if useful.
- Lenguaje dominante
- Go
- Estrellas
- 3k
- Forks
- 382
- Merge medio
- 1 d 12 h
- PR fusionados (30 d)
- 110
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de google/osv.dev
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 82/100
Los mantenedores suelen responder en 1 día
-
stale
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
google/osv.dev#5835 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 74/100
google/osv.dev#5824 · 4 comentarios ·
Los mantenedores suelen responder en 1 día
-
worker to log more information for gitter internal server errorsQuizá libre de nuevo @ZedingZhang la tomó hace 44 días y no hay ningún pull request abierto. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
google/osv.dev#5809 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
Create repo purls for GIT ecosystem rangesQuizá libre de nuevo Un pull request para esta issue se cerró sin fusionarse. Abiertobacklog data quality
Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100
google/osv.dev#3807 · 5 comentarios ·
Los mantenedores suelen responder en 1 día
Todos los issues de google/osv.dev
Issues similares
-
bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Los mantenedores suelen responder en 2 días
-
bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 83/100
devlikeapro/waha#2322 ·
Los mantenedores suelen responder en 2 días
-
validateDeclaredPath lets control characters through into the Gradle init script's Groovy literalAbiertoagent-butler-finding agent-research bug ready-for-agent
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
jordansmall/spindrift#5821 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
Los mantenedores suelen responder en 1 día
-
[rmqctl][Bug] Windows build script fails when the output directory is absentPosiblemente ocupada Un pull request vinculado a esta issue está abierto o ya se fusionó. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
apache/rocketmq-dashboard#7243 ·
Los mantenedores suelen responder en 3 días