CVSS ordering validation

オープン

#7,543 2026年4月29日に作成コメント 0 件リアクション 0 件担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度: 4/5
見積もり時間: 3〜5日
初心者へのやさしさ: 35/100

issue の種類: バグ
明瞭さ: 説明が足りない
活発さ: 静か
領域: security

調査の方向性

引用されている GHSA-mc24-7m59-4q5p advisory を確認し、その CVSS ベクターの順序とスコアを、示されている CVSS 3.1 の想定と比較します。既存の advisory と新しく作成された advisory に対する検証範囲を明確にします。準拠したベクターが検出され、表示されるスコアが意図された base-score の計算を使用していれば完了です。

索引モデルが issue の本文から書いたものです。

説明

Hello there,

It seems that there are several instances (have now been corrected) where CVSS vector string does not follow the compliant ordering. While base score is looking correct, this might be a compliant mismatch downstream.

Another thing is that it seems GHSA calculates Environmental Score instead of base score. For example, https://github.com/rancher/rancher/security/advisories/GHSA-mc24-7m59-4q5p. This GHSA has the vector string as CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H which should be resolved into 8.3 CVSS instead of considering Environmental Score 8.4

I am wondering if Github Sec team has putting some considerations to validate the vector string for all existing and upcoming GHSA being created?

Thank you for your work and your time!

Chi Tran
Amazon Inspector

主要言語: 言語のデータがありません
スター: 2.5k
フォーク: 772
平均マージ: 3日 15時間
マージ済み PR（30日）: 46

コントリビューションガイド

コントリビューションガイドを開く

はじめの一歩

issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
リポジトリをフォークし、ブランチを切って変更します。
issue 番号を参照したプルリクエストを送ります。

github/advisory-database のほかの issue

GHSA-vxq2-vhm7-7mhq: expand fetch-page-assets affected versions beyond = 1.2.9 オープン

難易度 2/5 1〜3時間初心者へのやさしさ 68/100

github/advisory-database#9255 · 2026年8月28日に作成
GHSA-2jcg-qqmg-46q6 monorepo-symlink-test placeholder version false positive オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#9164 · リアクション 1 件 · 2026年8月19日に作成
CVE-2026-5598 has incorrect fixed versions for bcprov-jdk packages オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#8994 · 2026年8月5日に作成
GHSA-mh99-v99m-4gvg (brace-expansion): flat `<= 5.0.7` range misses backported fixes in 1.x, 2.x and 3.x オープン

難易度 2/5 1〜3時間初心者へのやさしさ 68/100

github/advisory-database#8898 · コメント 4 件 · リアクション 1 件 · 2026年7月30日に作成
LDAP Injection in CMAK (Cluster Manager for Apache Kafka) via Search Filter オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#8841 · 2026年7月28日に作成

github/advisory-database の issue をすべて見る

似ている issue

OpenVEX statements carry no subcomponent package or version オープン

needs-triage

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

NVIDIA/aicr#2945 · 2026年9月23日に作成
Signed left-shift undefined behavior in `nbase/nbase_addrset.c` (`(1<<31)`, 4 sites) オープン

Nmap

難易度 1/5 1時間未満初心者へのやさしさ 85/100

nmap/nmap#3514 · 2026年9月23日に作成
CVE-2026-93748 (High) detected in http-cache-semantics-4.1.1.tgz オープン

Mend: dependency security vulnerability untriaged

難易度 2/5 1〜3時間初心者へのやさしさ 70/100

opensearch-project/OpenSearch-Dashboards#12806 · 2026年9月23日に作成
False positive: TurkScan.com / TurkChain network オープン

blocklist removal

難易度 2/5 1〜3時間初心者へのやさしさ 65/100

MetaMask/eth-phishing-detect#296544 · 2026年9月23日に作成
Usage of curl in mcr.microsoft.com/azure-functions/dotnet-isolated:4-dotnet-isolated10.0 オープン

難易度 2/5 1〜3時間初心者へのやさしさ 70/100

Azure/azure-functions-docker#1257 · 2026年9月23日に作成

Security の issue をもっと見る