Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

GHSA-r3hx-x5rh-p9vv (django-haystack): affected version range is unparseable ("eval()"), so the advisory matches nothing

Aperta
#8,843 2 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
3/5
Tempo stimato
1-2 giorni
Idoneità per principianti
52/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Tranquilla
Stack tecnologico
django, elasticsearch, python
Ambito
security

Direzione di ricerca

Inizia con GHSA-r3hx-x5rh-p9vv e django-haystack#2066, poi esamina il sink indicato in haystack/backends/elasticsearch_backend.py:865 e le versioni rilasciate del progetto. Conferma con i maintainer upstream quale sia la prima versione interessata prima di correggere i metadati affected e patched dell'advisory; il lavoro è concluso quando l'intervallo può essere analizzato e i consumer automatizzati possono individuare le release interessate.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Advisory

GHSA-r3hx-x5rh-p9vv — Remote Code Execution via eval() in Elasticsearch Result Deserialization, django-haystack (pip), published 2026-06-04, Moderate.

Problem

The advisory's version metadata is not a version range:

  • Affected versions: eval()
  • Patched versions: None

eval() appears to be a paste slip from the advisory body (the vulnerable sink is eval(value) at haystack/backends/elasticsearch_backend.py:865).

Impact of the metadata bug

Because the affected range is not a parseable constraint, this advisory cannot match any installed version. In practice that means:

  • Dependabot will not raise an alert for any django-haystack user
  • pip-audit, OSV-Scanner and other OSV consumers will not flag it
  • The advisory is published and visible to humans, but inert to every automated consumer

So a Moderate-severity RCE advisory exists while affected users receive no signal.

Suggested correction

Replace the affected range with a real constraint. django-haystack's latest release is 3.3.0 and the sink is still present on master, so the affected range appears to be all released versions up to and including the current one — e.g. <= 3.3.0, or an ecosystem-specific range once maintainers confirm the earliest affected version. Patched versions should stay empty/none until a fix ships, which is accurate today.

I've also opened django-haystack/django-haystack#2066 asking the maintainers to correct this at source and to consider requesting a CVE, since the advisory currently has none.

Disclosure

I'm the reporter of the underlying vulnerability. Raising this here only because the advisory is already public — nothing undisclosed is included above.

Lingua principale
Nessun dato sulla lingua
Stelle
2.5k
Fork
772
Merge medio
3g 18h
PR unite (30g)
48

Guida per i contributori

Apri la guida per i contributori

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di github/advisory-database

Tutte le issue di github/advisory-database

Issue simili

Altre issue su Security

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.