False positive: GHSA-hpcx-pg6g-x697 flags legitimate [email protected] as malware
维护者通常 1 天内回复
还没有人认领这个 Issue。
评估
- 难度
- 4/5
- 预计耗时
- 3-5 天
- 新手友好度
- 45/100
- Issue 类型
- 缺陷
- 描述清晰度
- 描述清楚
- 活跃度
- 冷清
- 技术栈
- javascript
- 领域
- security
调研方向
首先检查 GHSA 记录、链接的 malicious-packages PR 1383，以及 [email protected] 的来源证据，包括 .github/workflows/release.yml。只有在 advisory 数据库确认这是误报并按要求撤回该 advisory 后，任务才算完成。
由索引模型根据 Issue 内容生成。
描述
GHSA-hpcx-pg6g-x697 classifies the official [email protected] release as registry
impersonation malware. This is a false positive, and the upstream source has
already retracted it.
Evidence:
-
The source entry (OSSF malicious-packages MAL-2026-10726) was removed as a
false positive on 2026-07-22 via
https://github.com/ossf/malicious-packages/pull/1383 — five days before this
GHSA was published. -
[email protected] carries valid SLSA provenance tying the tarball to the
withastro/astro GitHub Actions release workflow
(.github/workflows/release.yml), published by the project's actual
maintainers on 2026-07-16. The [email protected] git tag exists upstream. -
The advisory's own premise is outdated: it states Astro "is on the v5.x
line". That was true in early 2025. Astro is currently on 7.1.x, with 7.1.6
published as of 2026-07-29. -
The flagged dependencies are not typosquats. piccolore is maintained by
delucis (Chris Swithinbank, Astro core maintainer, Starlight lead) and obug
by sxzz (Kevin Deng, Vue core team). Both are clean: no network, no
filesystem access, no child_process, no install scripts. -
npm has not unpublished or deprecated the package, and six further releases
have shipped since.
Requesting this advisory be withdrawn to match the upstream retraction.
- 主要语言
- 没有语言数据
- 星标
- 2.5k
- 派生
- 789
- 平均合并
- 5 天 11 小时
- 30 天内合并 PR
- 70
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 没有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
github/advisory-database 的其他 Issue
-
难度 2/5 1-3 小时 新手友好度 76/100
github/advisory-database#9879 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 68/100
github/advisory-database#9255 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 72/100
github/advisory-database#9164 · 1 个 reaction ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 72/100
github/advisory-database#8994 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 68/100
github/advisory-database#8898 · 4 条评论 · 1 个 reaction ·
维护者通常 1 天内回复
查看 github/advisory-database 的全部 Issue
相似的 Issue
-
难度 2/5 1-3 小时 新手友好度 85/100
mozilla/bedrock#17413 · 1 个 reaction ·
维护者通常 2 天内回复
-
bug
难度 2/5 1-3 小时 新手友好度 88/100
-
bug
难度 2/5 1-3 小时 新手友好度 90/100
yunaremaia/taintrace#146 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 78/100
Practitionist/familiarise_web#1916 ·
维护者通常 1 天内回复
-
A-kona proofs: ZK T-proofs
难度 2/5 1-3 小时 新手友好度 78/100
ethereum-optimism/optimism#23147 ·
维护者通常 1 天内回复