[GHSA-cj4v-437j-jq4c] [CVE-2026-25921] - Request for CVSS correction or clarification
Mantenedores costumam responder em até 1 dia
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 4/5
- Tempo estimado
- 3-5 dias
- Facilidade para iniciantes
- 45/100
- Tipo de issue
- Bug
- Clareza
- Razoavelmente clara
- Status de atividade
- Pouca atividade
- Domínio
- security
Direção de pesquisa
Revise o vetor CVSS atual do advisory em comparação com o vetor CVSS:3.1 proposto e o FIRST CVSS v3.1 user guide vinculado. Verifique a justificativa de Scope, Complexity, User Interaction e Availability e, em seguida, documente ou aplique a pontuação corrigida se a análise a confirmar.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
Hi GitHub,
Our automated CVSS enrichment pipeline detected some discrepancies between GitHub's provided vector and ours. Since this also passed a GitHub review, I thought it would be helpful to share my insights here, so that the vector or its justification might be corrected. For reference, this was the output from our AI pipeline: https://graph.volerion.com/view?id=CVE-2026-25921.
For the current vector, Scope is Changed (S:C), due to the stated supply-chain attack vector, but I believe this to be secondary impact that an attacker cannot expect to achieve for all or most instances of an attack against this product. Otherwise, including that 'appendage' would increase attack complexity via either AC (an automated system must later pull and utilize the poisoned source) or UI (a user does the same).
Additionally, A:L may have been set due to a common misconception regarding Availability impact. The vulnerable system is still fully available, albeit serving different content than intended, and therefore directly suffers a serious loss of integrity only.
The final vector would then be:
https://volerion.com/cvss/3.1#vector=CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
With a changed base score from 9.3 to 7.5.
Thanks!
- Linguagem predominante
- Sem dados de linguagem
- Estrelas
- 2.5k
- Forks
- 803
- Merge médio
- 6d 15h
- PRs com merge (30d)
- 59
Preparar o ambiente
- Sem Dockerfile nem arquivo Docker Compose
- Sem modelo de pull request
- Ler o guia de contribuição
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de github/advisory-database
-
Update https://github.com/advisories/GHSA-5pf6-cq2v-23ww to include patched versionTalvez já em andamento @GreyforgeLabs assumiu há 11 dias. Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 76/100
github/advisory-database#9879 ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
github/advisory-database#9255 ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 72/100
github/advisory-database#9164 · 1 reação ·
Mantenedores costumam responder em até 1 dia
-
CVE-2026-5598 has incorrect fixed versions for bcprov-jdk packagesTalvez já em andamento @ECD5A assumiu há 54 dias. Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 72/100
github/advisory-database#8994 ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 68/100
github/advisory-database#8898 · 4 comentários · 1 reação ·
Mantenedores costumam responder em até 1 dia
Todas as issues de github/advisory-database
Issues semelhantes
-
🐛 bug 🗺️ MCP OAuth
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 62/100
LibreChat-AI/LibreChat#17077 ·
Mantenedores costumam responder em até 1 dia
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 60/100
quarto-dev/quarto-cli#15042 ·
Mantenedores costumam responder em até 1 dia
-
Do not throw `WordPress.Security.EscapeOutput.OutputNotEscaped` on `apply_shortcodes()`Talvez já em andamento @tbradsha assumiu hoje. Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 75/100
-
effort: low prio: low ready
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 82/100
digitalfabrik/integreat-cms#4616 ·
Mantenedores costumam responder em até 5 dias
-
low AI-generated score
Dificuldade 1/5 Menos de uma hora Facilidade para iniciantes 72/100
UKGovernmentBEIS/inspect_evals#2680 ·
Mantenedores costumam responder em até 1 dia