Hacktoberfest 2026 : les issues que les mainteneurs ont marquées pour octobre, ouvertes et accessibles aux débutants. Parcourir les issues Hacktoberfest

Need CVE auto-linking disambiguation to CVEs that belong to more than 1 project

Ouverte
#2,869 3 commentaires 1 réaction 0 personnes assignées Voir sur GitHub

Personne n'a encore pris cette issue.

Évaluation

Difficulté
5/5
Temps estimé
Plus d'une semaine
Accessibilité débutants
35/100
Type d'issue
Fonctionnalité
Clarté
Plutôt claire
Activité
À l'abandon
Stack technique
github
Domaine
security

Piste de recherche

Examinez d’abord les exemples de CVE-2023-44487 et le PR #2860 lié de advisory-database, puis retracez le comportement existant de liaison automatique des CVE ; aucun point d’entrée d’implémentation n’est indiqué ici. La tâche est terminée lorsque les CVE attribués en dehors de GitHub renvoient vers MITRE ou une autre base de données de CVE plutôt que vers un advisory GitHub sans rapport, tandis que les advisories attribués par GitHub conservent leurs liens actuels.

Rédigé par le modèle d'indexation à partir du texte de l'issue.

Description

Description:

A CVE reference auto-linking should not link to a Github advisory if Github didn't assign the CVE ID (meaning the CVE came from somewhere else).
These kinds of CVE auto-linking should instead link to the MITRE (or other online CVE database) for that entry instead.
This will make it obvious that the CVE is bigger than the one project on github that is using the existing CVE id to update the impacted packages entries.

History:

The recent big CVE, CVE-2023-44487 (HTTP/2 Rapid Reset) was originally filed as a spec level CVE (against the HTTP/2 spec itself).

Over time, many projects have referenced CVE-2023-44487 in discussions, pull requests, issues, etc.

The use of CVE-2023-4487 auto-links to the https://github.com/advisories/GHSA-qppj-fm5r-hxr3 advisory, which is for a limited set of impacted packages on the swift-nio-http2 project. (see long listing of impacted packages at https://nvd.nist.gov/vuln/detail/CVE-2023-44487)
See concern brought up at https://github.com/github/advisory-database/pull/2860

This results in confusing links to an unrelated project and advisory.

Examples in Discussions:

Examples in Release Notes:

Examples in Issues:

Examples in PRs:

Langage dominant
Aucune donnée de langage
Étoiles
2.5k
Forks
772
Merge moyen
3 j 15 h
PR mergées (30 j)
46

Guide de contribution

Ouvrir le guide de contribution

Par où commencer

  1. Lisez l'issue en entier, puis le guide de contribution du projet.
  2. Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
  3. Forkez le dépôt et travaillez sur une branche.
  4. Ouvrez une pull request qui référence le numéro de l'issue.

Autres issues de github/advisory-database

Toutes les issues de github/advisory-database

Issues similaires

Plus d'issues Security

Recevez les nouvelles issues par e-mail

Un résumé court des issues GitHub adaptées aux débutants.