False-positive malware advisory for [email protected]
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 初心者へのやさしさ
- 35/100
調査の方向性
Read the linked advisory GHSA-68q3-vw3h-2mrf and the release comparison for futrou/futrou-cli v2.0.39 to v2.0.40, then review the evidence in the issue against the advisory's classification. The requested outcome is to withdraw the advisory or mark it invalid; the issue does not name advisory-database files or tests to start from.
索引モデルが issue の本文から書いたものです。
説明
Hey everyone,
I'm the maintainer of the https://www.npmjs.com/package/futrou npm package.
The advisory https://github.com/advisories/GHSA-68q3-vw3h-2mrf incorrectly classifies the single [email protected] release as containing malicious code. The npm flagged and removed this specific version without any notice or explanation. I contacted npm support with a dispute after the advisory was published, but I have not received any response from them yet.
Supporting evidence:
- No malicious code: Version
2.0.40contains only a single commit from Dependabot updatinggithub.com/quic-go/quic-gofrom0.64.1to0.65.0. There were no other source code changes in this release and dependency itself has no CVE. As is visible in the changelog: futrou/[email protected] - No source code differences: Other older and newer published versions contain the same source code and functionality but were not flagged as malware.
- Transparent build process: The entire source code and build process are publicly available for inspection. All binaries are built on shared GitHub Actions runners and signed.
- NPM Provenance: all npm releases are published with npm Provenance, providing verifiable information about their origin and build process.
- Pinned dependencies: Dependencies are pinned, and the repository does not accept merge requests from external collaborators, minimizing the risk of dependency or supply-chain attacks.
- Scanner false positive finding: The only possible reason for this classification is that the package used the Garble minifier in its build process. Garble has now been removed to minimize the chances of any future false-positive flagging.
The advisory itself does not identify any specific malicious functionality or explain what code is considered malicious.
Please review the evidence and withdraw this false-positive advisory or mark as invalid.
Thank you
Links:
- Repository: https://github.com/futrou/futrou-cli
- Disputed advisory: https://github.com/advisories/GHSA-68q3-vw3h-2mrf
- NPM package and version history: https://www.npmjs.com/package/futrou?activeTab=versions
- Affected release: https://github.com/futrou/futrou-cli/releases/tag/v2.0.40
- 主要言語
- 言語のデータがありません
- スター
- 2.6k
- フォーク
- 916
- 平均マージ
- 6日 3時間
- マージ済み PR（30日）
- 170
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートなし
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
github/advisory-database のほかの issue
-
[GHSA-gcqx-w48m-w2h4] False positive - CVE-2026-93753 is already rejected対応中かも @apepper が 3 日前に担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
github/advisory-database#10910 · リアクション 12 件 ·
メンテナーはふだん 1 日以内に返信
-
Update https://github.com/advisories/GHSA-5pf6-cq2v-23ww to include patched version対応中かも @GreyforgeLabs が 42 日前に担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
github/advisory-database#9879 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
github/advisory-database#9255 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
github/advisory-database#9164 · リアクション 1 件 ·
メンテナーはふだん 1 日以内に返信
-
CVE-2026-5598 has incorrect fixed versions for bcprov-jdk packages対応中かも このイシューにリンクされたプルリクエストがオープン中、またはマージ済みです。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
github/advisory-database#8994 ·
メンテナーはふだん 1 日以内に返信
github/advisory-database の issue をすべて見る
似ている issue
-
blocklist addition
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
MetaMask/eth-phishing-detect#312343 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
NangoHQ/nango#8304 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
-
難易度 2/5 1〜3時間 初心者へのやさしさ 70/100
Cygnux-Labs/Tracekit#827 ·
メンテナーはふだん 1 日以内に返信
-
enhancement
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
MaximeMRF/adonisjs-jwt#99 ·