OSV API exposes syntactically incorrect CVSSv4 scores
维护者通常 1 天内回复
还没有人认领这个 Issue。
评估
调研方向
从 GHSA-g357-x5c3-c72p、GHSA-9p7c-v5x3-rfx8 和 GHSA-78fc-9688-w8xw 的 API 响应开始，然后追踪它们的 CVSSv4 向量存储或序列化的位置。将这些向量与 CVSSv4 schema 进行比较，并使用符合 schema 的解析库对其进行验证。当受影响的 API 响应包含没有末尾斜杠且语法有效的向量时，即表示完成。
由索引模型根据 Issue 内容生成。
描述
Describe the bug
A number of OSV records from multiple ecosystems provide a CVSSv4 vector with a trailing slash which is not valid syntax per the CVSSv4 schema and any schema-compliant parsing library will trip up when processing such CVSSv4 vectors.
Some examples:
https://api.osv.dev/v1/vulns/GHSA-g357-x5c3-c72p
https://api.osv.dev/v1/vulns/GHSA-9p7c-v5x3-rfx8
https://api.osv.dev/v1/vulns/GHSA-78fc-9688-w8xw
To Reproduce
Steps to reproduce the behaviour:
- Go to any of the above links
- Copy the CVSSv4 vector
- Pass it to any schema-compliant CVSS parsing library
- Library will raise an error
Expected behaviour
Error is not raised, CVSSv4 vector complies with the schema.
Screenshots
N/A
Additional context
N/A
- 主要语言
- Go
- 星标
- 3k
- 派生
- 382
- 平均合并
- 1 天 10 小时
- 30 天内合并 PR
- 130
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
google/osv.dev 的其他 Issue
-
难度 2/5 1-3 小时 新手友好度 82/100
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 74/100
维护者通常 1 天内回复
-
worker to log more information for gitter internal server errors可能重新可做 @ZedingZhang 于 46 天前认领，目前没有进行中的 PR。 未关闭
难度 2/5 1-3 小时 新手友好度 72/100
维护者通常 1 天内回复
-
Create repo purls for GIT ecosystem ranges可能重新可做 关联的 PR 已关闭且未合并。 未关闭backlog data quality
难度 2/5 1-3 小时 新手友好度 65/100
维护者通常 1 天内回复
-
难度 3/5 1-2 天 新手友好度 66/100
维护者通常 1 天内回复
相似的 Issue
-
bug triage
难度 2/5 1-3 小时 新手友好度 78/100
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 78/100
mvanhorn/cli-printing-press#5146 ·
维护者通常 1 天内回复
-
bug
难度 2/5 1-3 小时 新手友好度 74/100
AvengeMedia/DankMaterialShell#3853 ·
-
难度 2/5 1-3 小时 新手友好度 60/100
-
难度 1/5 1 小时以内 新手友好度 85/100
维护者通常 1 天内回复