Hacktoberfest 2026 : les issues que les mainteneurs ont marquées pour octobre, ouvertes et accessibles aux débutants. Parcourir les issues Hacktoberfest

OSV parser drops all crates.io affected entries because the ecosystem mapping uses cargo

Ouverte Adaptée aux débutants
  • Quelque chose ne va pas ?
#2,485 1 commentaire 0 réactions 0 personnes assignées Voir sur GitHub

Les mainteneurs répondent en général sous 1 jour

@Ashutosh-Panda2004 y travaille déjà.

Depuis le 27/10/2026.

  • #2486 par @Ashutosh-Panda2004 — ouverte

Évaluation

Difficulté
2/5
Temps estimé
1-3 heures
Accessibilité débutants
76/100
Type d'issue
Bug
Clarté
Clairement spécifiée
Activité
Active
Stack technique
python
Domaine
security

Piste de recherche

Commencez dans vulnerabilities/importers/osv.py et examinez PURL_TYPE_BY_OSV_ECOSYSTEM ainsi que la recherche d’écosystème OSV décrite dans l’issue. Ajoutez une couverture pour un avis de sécurité de crates.io, en vous guidant sur l’exemple serde. Le travail est terminé lorsque les entrées crates.io produisent une URL de package cargo avec la version corrigée et que la clé cargo existante continue de fonctionner.

Rédigé par le modèle d'indexation à partir du texte de l'issue.

Description

I found that every crates.io advisory is silently dropped by the OSV parser.

In vulnerabilities/importers/osv.py, the PURL_TYPE_BY_OSV_ECOSYSTEM mapping is keyed by "cargo", but the ecosystem name in OSV data is "crates.io". The lookup lowercases the ecosystem string and finds no match for crates.io, so no package URL is built for the entry and the affected entry is skipped entirely.

I ran the parser on OSV advisories for serde and got:

F) ecosystem "crates.io", fixed version 1.0.0
   -> []                                   (dropped)
G) ecosystem "Cargo" (not the real OSV ecosystem name), fixed version 1.0.0
   -> pkg:cargo/serde with fixed 1.0.0     (works)

So the downstream path works end to end; only the ecosystem name in the mapping is wrong. This also means the cargo support that GithubOSVImporter.supported_ecosystems advertises never actually happens for real OSV data.

The fix I have in mind is to add a "crates.io": "cargo" entry to PURL_TYPE_BY_OSV_ECOSYSTEM, keeping the existing "cargo" key. Happy to raise a PR if this approach sounds right.

Langage dominant
Python
Étoiles
716
Forks
347
Merge moyen
12 h 15 min
PR mergées (30 j)
9

Préparer son environnement

  • Fournit un Dockerfile ou un fichier Docker Compose
  • Aucun modèle de pull request
  • Aucun guide de contribution

Par où commencer

  1. Lisez l'issue en entier, puis le guide de contribution du projet.
  2. Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
  3. Forkez le dépôt et travaillez sur une branche.
  4. Ouvrez une pull request qui référence le numéro de l'issue.

Autres issues de aboutcode-org/vulnerablecode

Toutes les issues de aboutcode-org/vulnerablecode

Issues similaires

Plus d'issues Python

Recevez les nouvelles issues par e-mail

Un résumé court des issues GitHub adaptées aux débutants.