Hacktoberfest 2026 : les issues que les mainteneurs ont marquées pour octobre, ouvertes et accessibles aux débutants. Parcourir les issues Hacktoberfest

[GHSA-8ffj-4hx4-9pgf] [CVE-2026-39413] - Request for CVSS correction or clarification

Ouverte
  • Quelque chose ne va pas ?
#7,373 1 commentaire 0 réactions 0 personnes assignées Voir sur GitHub

Les mainteneurs répondent en général sous 1 jour

Personne n'a encore pris cette issue.

Évaluation

Difficulté
4/5
Temps estimé
3-5 jours
Accessibilité débutants
42/100
Type d'issue
Bug
Clarté
Plutôt claire
Activité
Calme
Domaine
security

Piste de recherche

Commencez par l’avis CVE-2026-39413 et comparez son vecteur CVSS actuel avec les détails de l’attaque indiqués dans l’issue et la référence CVSS liée. Vérifiez les affirmations concernant la falsification de JWT sans authentification et l’impact sur les administrateurs ; le travail est considéré comme terminé lorsque le vecteur et la justification de l’avis sont corrigés, ou lorsque l’évaluation existante est documentée comme exacte.

Rédigé par le modèle d'indexation à partir du texte de l'issue.

Description

Hi GitHub,

Our automated CVSS enrichment pipeline detected some discrepancies between GitHub's provided vector and ours. Since this also passed a GitHub review, I thought it would be helpful to share my insights here, so that the vector or its justification might be corrected. For reference, this was the output from our AI pipeline: https://graph.volerion.com/view?id=CVE-2026-39413.

The current vector states AC:H, PR:H, UI:R, but an actual attack seems to involve only an unauthenticated attacker forging a valid JWT via a 'none' algorithm, therefore encountering none of those exploitation barriers.

Additionally, I would make the point that C:H/I:N/A:N is best changed to C:H/I:H/A:N to better reflect the potential administrator access an attacker might obtain after successful exploitation.

This comes down to a final vector of:
https://volerion.com/cvss/3.1#vector=CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
A pretty steep upgrade from a base score of 4.2 to 9.1.

I have hundreds more in the pipeline for 2026 alone, but unfortunately, I don't have the bandwidth to go through them all of them in this manner. Feel free to email me at [email protected] and perhaps we can work out a more streamlined method of setting the records straight.

Thanks!

Langage dominant
Aucune donnée de langage
Étoiles
2.5k
Forks
803
Merge moyen
6 j 15 h
PR mergées (30 j)
59

Préparer son environnement

Par où commencer

  1. Lisez l'issue en entier, puis le guide de contribution du projet.
  2. Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
  3. Forkez le dépôt et travaillez sur une branche.
  4. Ouvrez une pull request qui référence le numéro de l'issue.

Autres issues de github/advisory-database

Toutes les issues de github/advisory-database

Issues similaires

Plus d'issues Security

Recevez les nouvelles issues par e-mail

Un résumé court des issues GitHub adaptées aux débutants.