Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

False positive malware advisory for official astro@7.1.0 release

Aperta
#8,859 1 commento 1 reazione 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
3/5
Tempo stimato
1-2 giorni
Idoneità per principianti
58/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Tranquilla
Stack tecnologico
javascript
Ambito
security

Direzione di ricerca

Inizia confrontando l’avviso GitHub GHSA-hpcx-pg6g-x697 con il record OSV ritirato in osv/withdrawn/npm/astro/MAL-2026-10726.json e la PR OpenSSF #1383 collegata. Conferma le prove del ritiro e traccia come l’avviso è rappresentato in questo repository; il lavoro è concluso quando l’avviso di falso positivo non segnala più la release ufficiale astro@7.1.0.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

GitHub advisory GHSA-hpcx-pg6g-x697 incorrectly classifies astro@7.1.0 as malicious.

The advisory claims that:

  • The legitimate Astro project is still on the v5.x release line
  • astro@7.1.0 impersonates the real package
  • obug, piccolore, and @astrojs/markdown-satteri are attacker-controlled typosquats

These claims are incorrect.

astro@7.1.0 is an official Astro release:

  • Official release: https://github.com/withastro/astro/releases/tag/astro%407.1.0
  • Official tag commit: fdd673cc193734d7818fe5ace39c86b9500b2754
  • The release commit has GitHub’s verified signature
  • The official package manifest declares version 7.1.0
  • The official manifest includes obug, piccolore, and @astrojs/markdown-satteri
  • The npm tarball integrity matches the official release

The dependencies are also legitimate:

Most importantly, the originating OpenSSF record has already been withdrawn as a false positive here.

The OpenSSF PR is titled “Remove false positive astro advisory.” The person who submitted the package on behalf of the Amazon researcher also commented:

Following @tolgaergin's rationale, I concur this was a false positive. Apologies for the inconvenience.

The withdrawn OSV record is here:

https://github.com/ossf/malicious-packages/blob/main/osv/withdrawn/npm/astro/MAL-2026-10726.json

It contains:

"withdrawn": "2026-07-17T08:42:02Z"

It appears GitHub imported or published the advisory after the originating record had already been withdrawn. This is currently causing npm audit to report a critical malware finding for a legitimate Astro release.

Lingua principale
Nessun dato sulla lingua
Stelle
2.5k
Fork
772
Merge medio
3g 15h
PR unite (30g)
46

Guida per i contributori

Apri la guida per i contributori

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di github/advisory-database

Tutte le issue di github/advisory-database

Issue simili

Altre issue su Security

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.