CVE-2026-22028 Significant scoring difference between GHSA<>NVD
まだ誰も着手していません。
評価
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 初心者へのやさしさ
- 25/100
- issue の種類
- バグ
- 明瞭さ
- おおむね明確
- 活発さ
- 停滞
- 技術スタック
- github
- 領域
- security
調査の方向性
まず、NVD CVE-2026-22028 のリファレンスと GHSA-36hm-qxxp-pg3m のアドバイザリにある CVSS ベクトルと説明を比較します。記載されている UI インタラクションと影響に関する前提を確認します。スコアの差について文書化された説明を提示するか、修正が必要なアドバイザリデータを特定できれば完了です。
索引モデルが issue の本文から書いたものです。
説明
Hello,
I am a vulnerability data analyst, and I have observed a significant difference in the CVSS scores of GHSA-36hm-qxxp-pg3m/CVE-2026-22028.
Score by NVD: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Score by GHSA: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U
According to the description, component is vulnerable based on the following conditions:
1. Pass unmodified, unsanitized values from user-modifiable data sources (APIs, databases, local storage, etc.) directly into the render tree >> indicates a user action (implies UI:R)
The additional notes in the description imply that the affected scope is quite limited, which could reduce the general impact of the vulnerability - (makes more sense in the IMPACT metrics)
Since scoring could rely on different assessment approaches, this raises various questions and confusion among development teams - could you please provide a reasonable explanation on your end for this score assignment?
References
https://nvd.nist.gov/vuln/detail/CVE-2026-22028
https://github.com/advisories/GHSA-36hm-qxxp-pg3m
Thanks in advance!
- 主要言語
- 言語のデータがありません
- スター
- 2.5k
- フォーク
- 772
- 平均マージ
- 3日 15時間
- マージ済み PR（30日）
- 46
コントリビューションガイド
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
github/advisory-database のほかの issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
github/advisory-database#9255 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
github/advisory-database#9164 · リアクション 1 件 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
github/advisory-database#8994 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
github/advisory-database#8898 · コメント 4 件 · リアクション 1 件 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
github/advisory-database#8841 ·
github/advisory-database の issue をすべて見る
似ている issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
-
oblt-aw/detector/security
難易度 2/5 1〜3時間 初心者へのやさしさ 70/100
-
setup tools wizard offers no GitHub auth path, and setup summary doesn't recognize `gh` CLI auth オープンarea/auth comp/cli P3 tool/skills type/bug
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
NousResearch/hermes-agent#121131 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
trailofbits/skills#330 ·
-
accepted
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100