Repo specific advisories with CVE IDs don't make it into the global set

オープン

#3,266 2024年1月5日に作成コメント 3 件リアクション 5 件担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度: 4/5
見積もり時間: 3〜5日
初心者へのやさしさ: 30/100

issue の種類: バグ
明瞭さ: おおむね明確
活発さ: 停滞
技術スタック: github, grafana
領域: databases, security

調査の方向性

Grafana の advisory GHSA-2x6g-h2hg-rq84 から始め、割り当てられた CVE-2022-39306 と GitHub Advisory Database の検索結果を比較します。CVE IDs を持つリポジトリ固有の advisory がどのように扱われるかを追跡し、その CVE がグローバルデータベースに存在する時点で issue が解決済みとみなします。

索引モデルが issue の本文から書いたものです。

説明

It looks like if a repo has an advisory that was not marked to enter the global database, and that advisory is assigned a CVE ID, the CVE ID in question is not present in the GitHub Advisory Database.

I feel like I'm not explaining this well, so I have an example.

This Grafana advisory
https://github.com/grafana/grafana/security/advisories/GHSA-2x6g-h2hg-rq84

Has been assigned CVE-2022-39306

If you search the GitHub advisory database, that ID doesn't show up.

It is nice to use the GitHub database, even for unreviewed IDs, because it's vastly more complete and accurate for supported ecosystems than other sources. Incomplete CVE data means multiple data sources must be queried to get a full picture of which IDs exist.

Related is https://github.com/github/advisory-database/issues/2963 where I suggest allowing community contributions for non supported ecosystems, it would be a service to the world to have a public place to store useful details uncovered during investigations

主要言語: 言語のデータがありません
スター: 2.5k
フォーク: 772
平均マージ: 3日 15時間
マージ済み PR（30日）: 46

コントリビューションガイド

コントリビューションガイドを開く

はじめの一歩

issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
リポジトリをフォークし、ブランチを切って変更します。
issue 番号を参照したプルリクエストを送ります。

github/advisory-database のほかの issue

GHSA-vxq2-vhm7-7mhq: expand fetch-page-assets affected versions beyond = 1.2.9 オープン

難易度 2/5 1〜3時間初心者へのやさしさ 68/100

github/advisory-database#9255 · 2026年8月28日に作成
GHSA-2jcg-qqmg-46q6 monorepo-symlink-test placeholder version false positive オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#9164 · リアクション 1 件 · 2026年8月19日に作成
CVE-2026-5598 has incorrect fixed versions for bcprov-jdk packages オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#8994 · 2026年8月5日に作成
GHSA-mh99-v99m-4gvg (brace-expansion): flat `<= 5.0.7` range misses backported fixes in 1.x, 2.x and 3.x オープン

難易度 2/5 1〜3時間初心者へのやさしさ 68/100

github/advisory-database#8898 · コメント 4 件 · リアクション 1 件 · 2026年7月30日に作成
LDAP Injection in CMAK (Cluster Manager for Apache Kafka) via Search Filter オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#8841 · 2026年7月28日に作成

github/advisory-database の issue をすべて見る

似ている issue

sync build ignores local_timeout when opening kv.db and scripts.db オープン

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

atuinsh/atuin#4247 · コメント 1 件 · 2026年9月23日に作成
Disability Profile: Increase character limit of note fields オープン

Business User Story

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

bcgov/SIMS#6658 · 2026年9月23日に作成
[Documentation Request] vLLM kv_load_failure_policy doesn't apply to load failures in L2 adapters オープン

難易度 2/5 1〜3時間初心者へのやさしさ 65/100

LMCache/LMCache#5326 · 2026年9月23日に作成
[Bug]: Event executions make the originating request panic (nil JobInsertResult in queue log middleware) when the OTLP log exporter is enabled オープン

難易度 2/5 1〜3時間初心者へのやさしさ 65/100

zitadel/zitadel#12811 · 2026年9月23日に作成
Cannot reset column width オープン

0. Needs triage bug

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

nextcloud/tables#3025 · 2026年9月23日に作成

Databases の issue をもっと見る