Miscalculation of CVSS 3.1 score vs. NVD/FIRST CVSS calculator

オープン

#7,119 2026年3月5日に作成コメント 1 件リアクション 0 件担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度: 4/5
見積もり時間: 3〜5日
初心者へのやさしさ: 45/100

issue の種類: バグ
明瞭さ: おおむね明確
活発さ: 停滞
領域: security

調査の方向性

GHSA-vfww-5hm6-hx2j 用の GitHub Advisories API エンドポイントと、ベクトル CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H を使用して不一致を再現します。実装の結果を NVD/FIRST の計算機と比較し、このベクトルが 9.6 を生成すること、および関連する CVSS 計算が引き続き正しいことを確認します。

索引モデルが issue の本文から書いたものです。

説明

The calculation of CVSS 3.1 score does not produce the same result as the NVD/FIRST CVSS calculator

For example, querying the CVSS score of GHSA-vfww-5hm6-hx2j / CVE-2025-55754 -

curl -L \
  -H "Accept: application/vnd.github+json" \
  -H "X-GitHub-Api-Version: 2022-11-28" \
  https://api.github.com/advisories/GHSA-vfww-5hm6-hx2j

Produces the vector and a score of 9.7 -

...
"cvss": {
    "vector_string": "CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H",
    "score": 9.7
  },
...

However, the same CVSS vector in both NVD and FIRST CVSS 3.1 calculators, produces a score of 9.6 -
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H&version=3.1

The expected outcome is that the calculation of the above vector will be equal to the NVD/FIRST calculation (9.6)

主要言語: 言語のデータがありません
スター: 2.5k
フォーク: 772
平均マージ: 3日 15時間
マージ済み PR（30日）: 46

コントリビューションガイド

コントリビューションガイドを開く

はじめの一歩

issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
リポジトリをフォークし、ブランチを切って変更します。
issue 番号を参照したプルリクエストを送ります。

github/advisory-database のほかの issue

GHSA-vxq2-vhm7-7mhq: expand fetch-page-assets affected versions beyond = 1.2.9 オープン

難易度 2/5 1〜3時間初心者へのやさしさ 68/100

github/advisory-database#9255 · 2026年8月28日に作成
GHSA-2jcg-qqmg-46q6 monorepo-symlink-test placeholder version false positive オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#9164 · リアクション 1 件 · 2026年8月19日に作成
CVE-2026-5598 has incorrect fixed versions for bcprov-jdk packages オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#8994 · 2026年8月5日に作成
GHSA-mh99-v99m-4gvg (brace-expansion): flat `<= 5.0.7` range misses backported fixes in 1.x, 2.x and 3.x オープン

難易度 2/5 1〜3時間初心者へのやさしさ 68/100

github/advisory-database#8898 · コメント 4 件 · リアクション 1 件 · 2026年7月30日に作成
LDAP Injection in CMAK (Cluster Manager for Apache Kafka) via Search Filter オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#8841 · 2026年7月28日に作成

github/advisory-database の issue をすべて見る

似ている issue

Add a SECURITY.md オープン

難易度 1/5 1時間未満初心者へのやさしさ 90/100

ElementsProject/cln-application#167 · コメント 1 件 · リアクション 1 件 · 2026年9月24日に作成
Orbis reachable range returns the TomTom API key in full responses and the viz cache オープン

難易度 2/5 1〜3時間初心者へのやさしさ 70/100

tomtom-international/tomtom-maps-mcp#283 · 2026年9月24日に作成
Refusal-screening bypass can ignore tool-execution evidence in 17 metrics オープン

難易度 2/5 1〜3時間初心者へのやさしさ 70/100

confident-ai/deepteam#289 · 2026年9月24日に作成
Vulnerability Nessus 12085 - Apache Tomcat Default Files (with killbill/killbill:0.24.21) オープン

難易度 2/5 1〜3時間初心者へのやさしさ 65/100

killbill/killbill#2314 · コメント 1 件 · 2026年9月24日に作成
Security advisory for wasmtime オープン

難易度 2/5 1〜3時間初心者へのやさしさ 70/100

VirusTotal/yara-x#780 · 2026年9月24日に作成

Security の issue をもっと見る