Hacktoberfest 2026: as issues que os mantenedores marcaram para outubro, abertas e boas para iniciantes. Ver issues do Hacktoberfest

question: how handle `affected[].ranges[].events` + `affectedversions-field`

Aberta
  • Algo errado?
#5,734 3 comentários 1 reação 0 responsáveis Ver no GitHub

Mantenedores costumam responder em até 1 dia

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade
4/5
Tempo estimado
3-5 dias
Facilidade para iniciantes
25/100
Tipo de issue
Documentação
Clareza
Precisa de esclarecimento
Status de atividade
Estagnada
Stack de tecnologia
github, json
Domínio
documentation, security

Direção de pesquisa

Comece lendo o esquema OSV referenciado e o advisory GHSA-h4j7-5rxr-p4wc; em seguida, compare os intervalos, as versões e a GitHub UI dele com a issue da Microsoft vinculada. Considera-se concluído quando for explicado como esses campos devem ser interpretados em conjunto e qualquer discrepância for documentada; o payload não nomeia arquivos do repositório nem testes a serem executados.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

Description

Hello! Thanks for your work!

I found 1 confusing case:
https://github.com/advisories/GHSA-h4j7-5rxr-p4wc advisory contains affected[].ranges[].events + affectedversions-field:

    {
      "package": {
        "ecosystem": "NuGet",
        "name": "Microsoft.Build.Tasks.Core"
      },
      "ranges": [
        {
          "type": "ECOSYSTEM",
          "events": [
            {
              "introduced": "17.13.9"
            },
            {
              "fixed": "17.14.8"
            }
          ]
        }
      ],
      "versions": [
        "17.13.9"
      ]
    }

OSV schema says:

affected[].versions field

The affected object’s versions field is a JSON array of strings. Each string is a single affected version in whatever version syntax is used by the given package ecosystem.
...
affected[].ranges[].events fields

The ranges object’s events field is a JSON array of objects. Each object describes a single version that either:

    Introduces a vulnerability: {"introduced": string}
    Fixes a vulnerability: {"fixed": string}

IIUC it means that affected versions are >=17.13.9 < 17.14.8 range + 17.13.9 version.
But this range contains 17.13.9 so it means that affected versions are >=17.13.9 < 17.14.8 range

GitHub UI shows the following versions:
Image

This is correct for microsoft information - https://github.com/dotnet/msbuild/issues/118469
But this is not equal OSV file.

Can you help to understand this case?
Perhaps i am missing something.

Best Regards, Dmitriy

Related Issues:

Linguagem predominante
Sem dados de linguagem
Estrelas
2.5k
Forks
803
Merge médio
7d 6h
PRs com merge (30d)
64

Preparar o ambiente

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de github/advisory-database

Todas as issues de github/advisory-database

Issues semelhantes

Mais issues de Documentation

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.