Many security_advisory.published failing webhook events originating from similar npm packages

オープン

#4,578 2024年7月4日に作成コメント 1 件リアクション 0 件担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度: 4/5
見積もり時間: 3〜5日
初心者へのやさしさ: 25/100

issue の種類: バグ
明瞭さ: 説明が足りない
活発さ: 停滞
技術スタック: github
領域: api, security

調査の方向性

リンクされている GitHub の security_advisory webhook ドキュメントと、例として示されている GHSA-hh4g-p2q6-7fv advisory から始めてください。報告されたマルウェア advisory と、失敗している webhook イベントおよび X-Hub-Signature-256 の動作を比較してください。これらの advisory を一般に配信すべきかどうかを文書化し、報告された署名の失敗を明確化または修正できれば完了です。

索引モデルが issue の本文から書いたものです。

説明

My github org is currently receiving many webhooks of the security_advisory.published type. My understanding is that these advisories are general in nature and are not necessarily received due to a specific package being used within an org (please correct me if wrong).

The reason I'm raising this is that there appear to be many junk malware type advisories being pushed out through the database:

see: https://github.com/advisories?query=type%3Amalware

example advisory: https://github.com/advisories/GHSA-hh4g-p2q6-7fvj

These advisories would need to be reviewed before being sent out, is that correct? An interesting note is that these events are also all failing the X-Hub-Signature-256 check for the github app installed in my org receiving the webhook events

主要言語: 言語のデータがありません
スター: 2.5k
フォーク: 772
平均マージ: 3日 15時間
マージ済み PR（30日）: 46

コントリビューションガイド

コントリビューションガイドを開く

はじめの一歩

issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
リポジトリをフォークし、ブランチを切って変更します。
issue 番号を参照したプルリクエストを送ります。

github/advisory-database のほかの issue

GHSA-vxq2-vhm7-7mhq: expand fetch-page-assets affected versions beyond = 1.2.9 オープン

難易度 2/5 1〜3時間初心者へのやさしさ 68/100

github/advisory-database#9255 · 2026年8月28日に作成
GHSA-2jcg-qqmg-46q6 monorepo-symlink-test placeholder version false positive オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#9164 · リアクション 1 件 · 2026年8月19日に作成
CVE-2026-5598 has incorrect fixed versions for bcprov-jdk packages オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#8994 · 2026年8月5日に作成
GHSA-mh99-v99m-4gvg (brace-expansion): flat `<= 5.0.7` range misses backported fixes in 1.x, 2.x and 3.x オープン

難易度 2/5 1〜3時間初心者へのやさしさ 68/100

github/advisory-database#8898 · コメント 4 件 · リアクション 1 件 · 2026年7月30日に作成
LDAP Injection in CMAK (Cluster Manager for Apache Kafka) via Search Filter オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#8841 · 2026年7月28日に作成

github/advisory-database の issue をすべて見る

似ている issue

[Bug]: ctx_search rejects singular 'query' param despite schema declaring it valid オープン

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

mksglu/context-mode#1200 · 2026年9月24日に作成
[FEATURE]: add "Kimi K3" in the Amazon Bedrock available models オープン

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

anomalyco/opencode#51091 · 2026年9月24日に作成
Bump transitive axios to >=1.18.0 to address GHSA-hcpx-6fm6-wx23 オープン

難易度 2/5 1〜3時間初心者へのやさしさ 70/100

coinbase/cdp-sdk#828 · 2026年9月24日に作成
Default model "gpt-5.5-pro" is out of date/deprecated and should be replaced with GPT-6 Pro オープン

clawsweeper:needs-maintainer-review clawsweeper:needs-product-decision clawsweeper:no-new-fix-pr impact:auth-provider issue-rating: 🌊 off-meta tidepool P2

難易度 1/5 1時間未満初心者へのやさしさ 80/100

steipete/oracle#512 · コメント 2 件 · リアクション 1 件 · 2026年9月24日に作成
Blueprints: site declares Tokens, Tones, MenuLinks and HeaderActions オープン

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

BaryoDev/barakoCMS#998 · 2026年9月24日に作成

Backend & API Design の issue をもっと見る