Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

GHSA-8v8j-3hxp-93wr / GHSA-wwpq-f5c3-7hvx: Dependabot incorrectly flags spring-boot 4.1.0 as vulnerable

Aperta
#8,085 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
3/5
Tempo stimato
1-2 giorni
Idoneità per principianti
55/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Tranquilla
Stack tecnologico
spring-boot
Ambito
security

Direzione di ricerca

Inizia individuando i record per GHSA-8v8j-3hxp-93wr e GHSA-wwpq-f5c3-7hvx, quindi traccia come vengono rappresentati i relativi intervalli di versioni vulnerabili e come vengono confrontati con le versioni di Spring Boot. Determina se sono i dati dell’avviso o il comportamento del confronto a far segnalare 4.1.0; il lavoro è completato quando l’avviso non si applica più a 4.1.0 e l’intervallo interessato rimane accurato.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Summary

Dependabot is generating alerts for org.springframework.boot:spring-boot:4.1.0 against both GHSA-8v8j-3hxp-93wr and GHSA-wwpq-f5c3-7hvx.

Problem

Both advisories explicitly define the vulnerable range as >= 4.0.0, < 4.0.6 for the 4.x branch.

4.1.0 > 4.0.6 — it is mathematically outside the vulnerable range. Spring Boot 4.1.0 was released after 4.0.6 and includes the fixes for both CVEs.

The advisory descriptions confirm this:

  • GHSA-8v8j-3hxp-93wr: "Spring Boot 4.0.0–4.0.5; upgrade to 4.0.6 or later"
  • GHSA-wwpq-f5c3-7hvx: "Spring Boot 4.0.0–4.0.5 (fix 4.0.6)"

Impact

Repositories using Spring Boot 4.1.0 (the latest release) receive incorrect CRITICAL and HIGH Dependabot alerts for vulnerabilities that do not affect them.

Expected behaviour

Dependabot should not flag spring-boot:4.1.0 since 4.1.0 >= 4.0.6.

Suggestion

If the advisory is correct as written and the scanner is the bug, please fix the version comparison logic.
If 4.1.x is also affected (which the advisory text contradicts), please add a separate vulnerable range >= 4.1.0, < 4.1.x with an explicit patched version.

Lingua principale
Nessun dato sulla lingua
Stelle
2.5k
Fork
772
Merge medio
3g 18h
PR unite (30g)
48

Guida per i contributori

Apri la guida per i contributori

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di github/advisory-database

Tutte le issue di github/advisory-database

Issue simili

Altre issue su Security

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.