GHSA-rmgv-gcwh-2pqh (CVE-2026-63656) published on repo but missing from global Advisory DB / MITRE / NVD / OSV

オープン

#9,171 2026年8月20日に作成コメント 0 件リアクション 0 件担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度: 4/5
見積もり時間: 3〜5日
初心者へのやさしさ: 35/100

issue の種類: バグ
明瞭さ: おおむね明確
活発さ: 活発
領域: databases, security

調査の方向性

まず、リポジトリの advisory API のレスポンスを GHSA-rmgv-gcwh-2pqh のグローバル advisory endpoint と比較し、次にレポートに記載されている MITRE、NVD、OSV の endpoint を確認します。公開された advisory がグローバルに存在し、CVE-2026-63656 が下流のレコードで利用可能になっていれば完了です。

索引モデルが issue の本文から書いたものです。

説明

Summary

The repository security advisory GHSA-rmgv-gcwh-2pqh (flyimg/flyimg, CVE-2026-63656) was published on 2026-07-30 and the fix shipped in flyimg 1.12.3, but ~3 weeks later the advisory has not been promoted into the global GitHub Advisory Database and the CVE record has not propagated to MITRE, NVD, or OSV.

Advisory

Repo advisory: https://github.com/flyimg/flyimg/security/advisories/GHSA-rmgv-gcwh-2pqh
GHSA: GHSA-rmgv-gcwh-2pqh
CVE: CVE-2026-63656
Affected: flyimg/flyimg (Composer) 0.1.2 <= 1.12.2 — patched in 1.12.3

What I observe (checked 2026-08-20)

gh api repos/flyimg/flyimg/security-advisories/GHSA-rmgv-gcwh-2pqh → state: published, published_at: 2026-07-30T08:19:16Z, cve_id: CVE-2026-63656, patched 1.12.3.
GET https://api.github.com/advisories/GHSA-rmgv-gcwh-2pqh → 404 Not Found (not in the global Advisory Database).
MITRE https://cveawg.mitre.org/api/cve/CVE-2026-63656 → 404 CVE_RECORD_DNE (no record at all, not even RESERVED).
NVD API (cveId=CVE-2026-63656) → 0 results.
OSV.dev (by CVE id and by GHSA id) → 404.

Ask

Please promote this published repo advisory into the global GitHub Advisory Database and push the CVE-2026-63656 record to MITRE so it propagates onward to NVD / OSV / Dependabot. Reporter credited on the advisory: @0xRenSec.

Thanks!

主要言語: 言語のデータがありません
スター: 2.5k
フォーク: 772
平均マージ: 4日 17時間
マージ済み PR（30日）: 75

コントリビューションガイド

コントリビューションガイドを開く

はじめの一歩

issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
リポジトリをフォークし、ブランチを切って変更します。
issue 番号を参照したプルリクエストを送ります。

github/advisory-database のほかの issue

GHSA-vxq2-vhm7-7mhq: expand fetch-page-assets affected versions beyond = 1.2.9 オープン

難易度 2/5 1〜3時間初心者へのやさしさ 68/100

github/advisory-database#9255 · 2026年8月28日に作成
GHSA-2jcg-qqmg-46q6 monorepo-symlink-test placeholder version false positive オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#9164 · リアクション 1 件 · 2026年8月19日に作成
CVE-2026-5598 has incorrect fixed versions for bcprov-jdk packages オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#8994 · 2026年8月5日に作成
GHSA-mh99-v99m-4gvg (brace-expansion): flat `<= 5.0.7` range misses backported fixes in 1.x, 2.x and 3.x オープン

難易度 2/5 1〜3時間初心者へのやさしさ 68/100

github/advisory-database#8898 · コメント 4 件 · リアクション 1 件 · 2026年7月30日に作成
LDAP Injection in CMAK (Cluster Manager for Apache Kafka) via Search Filter オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#8841 · 2026年7月28日に作成

github/advisory-database の issue をすべて見る

似ている issue

db commands hand psql the user and password still percent encoded オープン

bug

難易度 2/5 1〜3時間初心者へのやさしさ 82/100

hanami/hanami-cli#449 · 2026年9月25日に作成
fix(pg-meta): schemas.update and schemas.remove DO blocks fail when a name contains "$$" オープン

external-issue to-triage

難易度 2/5 1〜3時間初心者へのやさしさ 88/100

supabase/supabase#50882 · 2026年9月24日に作成
SqliteSaver.list(filter=...) silently misses nested metadata values containing non-ASCII text オープン

external

難易度 2/5 1〜3時間初心者へのやさしさ 65/100

langchain-ai/langgraph#9074 · コメント 1 件 · 2026年9月24日に作成
bug(arrow-odbc): SQL Server event store index guard never matches オープン

難易度 2/5 1〜3時間初心者へのやさしさ 92/100

litestar-org/sqlspec#816 · 2026年9月24日に作成
JIT-compiled number -> Decimal conversion silently overflows instead of raising DECIMAL_OVERFLOW オープン

fuzz

難易度 2/5 1〜3時間初心者へのやさしさ 82/100

ClickHouse/ClickHouse#122114 · 2026年9月24日に作成

Databases の issue をもっと見る