Many security_advisory.published failing webhook events originating from similar npm packages
Les mainteneurs répondent en général sous 1 jour
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 4/5
- Temps estimé
- 3-5 jours
- Accessibilité débutants
- 25/100
Piste de recherche
Commencez par la documentation GitHub liée sur security_advisory webhook et par l’avis d’exemple GHSA-hh4g-p2q6-7fv. Comparez les avis de malware signalés avec les événements webhook en échec et le comportement de X-Hub-Signature-256. Le travail est terminé lorsque la question de savoir si ces avis doivent être transmis de manière générale est documentée et que l’échec de signature signalé est clarifié ou corrigé.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
My github org is currently receiving many webhooks of the security_advisory.published type. My understanding is that these advisories are general in nature and are not necessarily received due to a specific package being used within an org (please correct me if wrong).
The reason I'm raising this is that there appear to be many junk malware type advisories being pushed out through the database:
see: https://github.com/advisories?query=type%3Amalware
example advisory: https://github.com/advisories/GHSA-hh4g-p2q6-7fvj
These advisories would need to be reviewed before being sent out, is that correct? An interesting note is that these events are also all failing the X-Hub-Signature-256 check for the github app installed in my org receiving the webhook events
- Langage dominant
- Aucune donnée de langage
- Étoiles
- 2.5k
- Forks
- 838
- Merge moyen
- 5 j 1 h
- PR mergées (30 j)
- 46
Préparer son environnement
- Aucun Dockerfile ni fichier Docker Compose
- Aucun modèle de pull request
- Lire le guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de github/advisory-database
-
Update https://github.com/advisories/GHSA-5pf6-cq2v-23ww to include patched versionPeut-être pris @GreyforgeLabs l’a pris il y a 20 jours. Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 76/100
github/advisory-database#9879 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
github/advisory-database#9255 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
github/advisory-database#9164 · 1 réaction ·
Les mainteneurs répondent en général sous 1 jour
-
CVE-2026-5598 has incorrect fixed versions for bcprov-jdk packagesPeut-être pris @ECD5A l’a pris il y a 63 jours. Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
github/advisory-database#8994 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
github/advisory-database#8898 · 4 commentaires · 1 réaction ·
Les mainteneurs répondent en général sous 1 jour
Toutes les issues de github/advisory-database
Issues similaires
-
room-commons replace accepts an empty old string and silently prepends the new text to the pageOuverte
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 68/100
doobidoo/mcp-memory-service#1650 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 76/100
Les mainteneurs répondent en général sous 1 jour
-
yandex engine: parsing error from a russian IP, yandex.com redirects to yandex.ruPeut-être pris @evgeniylebedev l’a pris aujourd’hui. Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 73/100
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 88/100
objectionary/phino#2058 ·
Les mainteneurs répondent en général sous 1 jour