CVE-2026-22028 Significant scoring difference between GHSA<>NVD
Mantenedores costumam responder em até 1 dia
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 4/5
- Tempo estimado
- 3-5 dias
- Facilidade para iniciantes
- 25/100
- Tipo de issue
- Bug
- Clareza
- Razoavelmente clara
- Status de atividade
- Estagnada
- Stack de tecnologia
- github
- Domínio
- security
Direção de pesquisa
Comece comparando os vetores e as descrições CVSS na referência NVD CVE-2026-22028 e no advisory GHSA-36hm-qxxp-pg3m. Revise as suposições declaradas sobre a interação com a UI e o impacto; considera-se concluído quando for fornecida uma explicação documentada da diferença na pontuação ou forem identificados os dados do advisory que precisam de correção.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
Hello,
I am a vulnerability data analyst, and I have observed a significant difference in the CVSS scores of GHSA-36hm-qxxp-pg3m/CVE-2026-22028.
Score by NVD: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Score by GHSA: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U
According to the description, component is vulnerable based on the following conditions:
1. Pass unmodified, unsanitized values from user-modifiable data sources (APIs, databases, local storage, etc.) directly into the render tree >> indicates a user action (implies UI:R)
The additional notes in the description imply that the affected scope is quite limited, which could reduce the general impact of the vulnerability - (makes more sense in the IMPACT metrics)
Since scoring could rely on different assessment approaches, this raises various questions and confusion among development teams - could you please provide a reasonable explanation on your end for this score assignment?
References
https://nvd.nist.gov/vuln/detail/CVE-2026-22028
https://github.com/advisories/GHSA-36hm-qxxp-pg3m
Thanks in advance!
- Linguagem predominante
- Sem dados de linguagem
- Estrelas
- 2.5k
- Forks
- 803
- Merge médio
- 6d 15h
- PRs com merge (30d)
- 59
Preparar o ambiente
- Sem Dockerfile nem arquivo Docker Compose
- Sem modelo de pull request
- Ler o guia de contribuição
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de github/advisory-database
-
Update https://github.com/advisories/GHSA-5pf6-cq2v-23ww to include patched versionTalvez já em andamento @GreyforgeLabs assumiu há 11 dias. Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 76/100
github/advisory-database#9879 ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
github/advisory-database#9255 ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 72/100
github/advisory-database#9164 · 1 reação ·
Mantenedores costumam responder em até 1 dia
-
CVE-2026-5598 has incorrect fixed versions for bcprov-jdk packagesTalvez já em andamento @ECD5A assumiu há 54 dias. Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 72/100
github/advisory-database#8994 ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
github/advisory-database#8898 · 4 comentários · 1 reação ·
Mantenedores costumam responder em até 1 dia
Todas as issues de github/advisory-database
Issues semelhantes
-
🐛 bug 🗺️ MCP OAuth
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 62/100
LibreChat-AI/LibreChat#17077 ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 60/100
quarto-dev/quarto-cli#15042 ·
Mantenedores costumam responder em até 1 dia
-
Do not throw `WordPress.Security.EscapeOutput.OutputNotEscaped` on `apply_shortcodes()`Talvez já em andamento @tbradsha assumiu hoje. Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 75/100
-
effort: low prio: low ready
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 82/100
digitalfabrik/integreat-cms#4616 ·
Mantenedores costumam responder em até 5 dias
-
low AI-generated score
Dificuldade 1/5 Menos de uma hora Facilidade para iniciantes 72/100
UKGovernmentBEIS/inspect_evals#2680 ·
Mantenedores costumam responder em até 1 dia