Suggest improvements form drops the CVSS 3.1 vector when an advisory has both 3.1 and 4.0

オープン

#9,628 2026年9月19日に作成コメント 0 件リアクション 0 件担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度: 3/5
見積もり時間: 1〜2日
初心者へのやさしさ: 48/100

issue の種類: バグ
明瞭さ: 明確に書かれている
活発さ: 活発
領域: security

調査の方向性

Start by examining the “Suggest improvements for this vulnerability” form and the generated changes in pull request #9627 for advisory GHSA-984m-rj28-8c6x. Reproduce a range-only edit on an advisory containing both CVSS 3.1 and 4.0 vectors, then verify that the CVSS 3.1 vector remains in the submitted advisory.

索引モデルが issue の本文から書いたものです。

説明

I used the "Suggest improvements for this vulnerability" form on GHSA-984m-rj28-8c6x to change the range of one entry. I did not touch the severity. But the pull request #9627 also removes the CVSS_V3 entry and keeps only CVSS_V4. Here is the part of its diff.

   "severity": [
-    {
-      "type": "CVSS_V3",
-      "score": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N"
-    },
     {
       "type": "CVSS_V4",
       "score": "CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N"

The advisory has both vectors. The form has a "Severity" select with "Assess severity using CVSS v4" and one "Vector string" field, so it can hold only one vector. When I submit the form, the other vector is lost.

I expect the form to keep the CVSS 3.1 vector when I do not edit the severity.

主要言語: 言語のデータがありません
スター: 2.5k
フォーク: 772
平均マージ: 3日 15時間
マージ済み PR（30日）: 46

コントリビューションガイド

コントリビューションガイドを開く

はじめの一歩

issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
リポジトリをフォークし、ブランチを切って変更します。
issue 番号を参照したプルリクエストを送ります。

github/advisory-database のほかの issue

GHSA-vxq2-vhm7-7mhq: expand fetch-page-assets affected versions beyond = 1.2.9 オープン

難易度 2/5 1〜3時間初心者へのやさしさ 68/100

github/advisory-database#9255 · 2026年8月28日に作成
GHSA-2jcg-qqmg-46q6 monorepo-symlink-test placeholder version false positive オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#9164 · リアクション 1 件 · 2026年8月19日に作成
CVE-2026-5598 has incorrect fixed versions for bcprov-jdk packages オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#8994 · 2026年8月5日に作成
GHSA-mh99-v99m-4gvg (brace-expansion): flat `<= 5.0.7` range misses backported fixes in 1.x, 2.x and 3.x オープン

難易度 2/5 1〜3時間初心者へのやさしさ 68/100

github/advisory-database#8898 · コメント 4 件 · リアクション 1 件 · 2026年7月30日に作成
LDAP Injection in CMAK (Cluster Manager for Apache Kafka) via Search Filter オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

github/advisory-database#8841 · 2026年7月28日に作成

github/advisory-database の issue をすべて見る

似ている issue

False positive: TurkScan.com / TurkChain network オープン

blocklist removal

難易度 2/5 1〜3時間初心者へのやさしさ 65/100

MetaMask/eth-phishing-detect#296544 · 2026年9月23日に作成
Usage of curl in mcr.microsoft.com/azure-functions/dotnet-isolated:4-dotnet-isolated10.0 オープン

難易度 2/5 1〜3時間初心者へのやさしさ 70/100

Azure/azure-functions-docker#1257 · 2026年9月23日に作成
build_ca_bundle.py: cap the privileged read size of the swapd-controlled CA オープン

area:proxy bug security severity:low track:open-source

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

ntindle/spark-vm#300 · 2026年9月23日に作成
versions endpoint passes commit_hash to git show unvalidated: option injection (read tier, root-level entries) オープン

bug server

難易度 2/5 1〜3時間初心者へのやさしさ 70/100

markramm/pyrite#333 · 2026年9月23日に作成
normalizeFilePath() leaks the username whenever the viewing OS differs from the machine the path came from オープン

難易度 2/5 1〜3時間初心者へのやさしさ 70/100

bytedance/UI-TARS-desktop#2009 · コメント 1 件 · 2026年9月23日に作成

Security の issue をもっと見る