Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

API returns wrong last_affected for twisted package and CVE-2026-106454

Đang mở
  • Có gì không ổn?
#6,180 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
3/5
Thời gian dự kiến
1-2 ngày
Mức phù hợp với người mới
66/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
go, python
Lĩnh vực
api, databases, security

Hướng nghiên cứu

Start by tracing the /v1/query API handling for PyPI packages and how it reads the affected ranges for CVE-2026-106454. Compare the stored vulnerability data with the NVD range cited in the issue, which says versions through 25.5.0 are affected. Done means querying twisted 26.4.0 no longer reports this vulnerability, while versions at or below 25.5.0 remain affected.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Describe the bug
If one queries the API for the package "twisted" version 26.4.0 (which is the latest version) it reports that it is affected by vulnerability CVE-2026-106454. However the documentation of the of the vulnerability https://nvd.nist.gov/vuln/detail/CVE-2026-106454 clearly states that only versions <= 25.5.0 are affected

Image

To Reproduce

 curl -X POST -d \
                '{"version": "26.4.0", "package": {"name": "twisted", "ecosystem": "PyPI"}}' \
                "https://api.osv.dev/v1/query"

This returns:

...
{ ...
"aliases": [
     "CVE-2026-106454",
     "PYSEC-2026-4304"
],
"affected": [
                {
                    "package": {
                        "name": "twisted",
                        "ecosystem": "PyPI",
                        "purl": "pkg:pypi/twisted"
                    },
                    "ranges": [
                        {
                            "type": "ECOSYSTEM",
                            "events": [
                                {
                                    "introduced": "0"
                                },
                                {
                                    "last_affected": "26.4.0"
                                }
                            ]
                        }
                    ],
                   "versions": [
                                ...
                               "26.4.0",
                                ...
}
...

Expected behaviour
Last affected version should be reported as 25.5.0 and not 26.4.0.

Ngôn ngữ chính
Go
Star
3k
Fork
382
Merge trung bình
1 ngày 12 giờ
Pull request đã merge (30 ngày)
110

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của google/osv.dev

Tất cả issue của google/osv.dev

Issue tương tự

Thêm issue về Go

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.