Data quality issue with CVE-2026-111171
维护者通常 1 天内回复
还没有人认领这个 Issue。
评估
调研方向
从 cves/2026/111xxx/CVE-2026-111171.json 开始，然后检查对应的 OSV 记录，了解别名分组以及受影响/已修复的版本范围。从 aliases 中移除 GHSA-5hr4-253g-cpx2，仅在合适的情况下将其保留为 related，并修正两个发布间隔。CVE-2026-111171 不再与 CVE-2026-40072 合并，且记录的影响版本范围与 CNA 数据一致，即表示完成。
由索引模型根据 Issue 内容生成。
描述
The CVE ID
https://osv.dev/vulnerability/CVE-2026-111171
Describe the data quality issue observed
The record lists GHSA-5hr4-253g-cpx2 in aliases, but the CNA record tags that reference related and vendor-advisory. CVE-2026-111171 is a bypass of the CVE-2026-40072 fix (IPv4-mapped IPv6 addresses in _check_ip_blocked()), not the same vulnerability. Through alias grouping, OSV.dev now returns CVE-2026-111171 as an alias of CVE-2026-40072, GHSA-5hr4-253g-cpx2 and PYSEC-2026-3414, so consumers that merge alias groups report the bypass as fixed in web3 7.15.0.
The GIT range also sets fixed at v7.16.0 (efbc6ebc) and v8.0.0 (c8c1ed0c), but the CNA record lists 7.15.0 through 7.16.0 and 8.0.0b2 through 8.0.0 as affected (lessThanOrEqual), so both releases are affected. The second interval starts at introduced: "0" rather than 8.0.0b2.
Suggested changes to record
Drop GHSA-5hr4-253g-cpx2 from aliases (at most related). Use last_affected for v7.16.0 and v8.0.0, and start the second interval at v8.0.0-beta.2 (f293950722).
Additional context
This surfaced while reviewing a Homebrew advisory candidate for slither-analyzer, which bundles web3 7.16.0.
- 主要语言
- Go
- 星标
- 3k
- 派生
- 382
- 平均合并
- 1 天 10 小时
- 30 天内合并 PR
- 130
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
google/osv.dev 的其他 Issue
-
stale
难度 2/5 1-3 小时 新手友好度 68/100
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 74/100
维护者通常 1 天内回复
-
worker to log more information for gitter internal server errors可能重新可做 @ZedingZhang 于 45 天前认领，目前没有进行中的 PR。 未关闭
难度 2/5 1-3 小时 新手友好度 72/100
维护者通常 1 天内回复
-
Create repo purls for GIT ecosystem ranges可能重新可做 关联的 PR 已关闭且未合并。 未关闭backlog data quality
难度 2/5 1-3 小时 新手友好度 65/100
维护者通常 1 天内回复
-
难度 3/5 1-2 天 新手友好度 66/100
维护者通常 1 天内回复
相似的 Issue
-
[Bug]: Deleting an MCP proxy leaves its API keys in the gateway's memory and in the policy engine未关闭Aspect/API Aspect/Other Severity/Minor Type/Bug
难度 2/5 1-3 小时 新手友好度 83/100
wso2/api-platform#3852 ·
维护者通常 1 天内回复
-
bug
难度 2/5 1-3 小时 新手友好度 76/100
Rafaeldelinares/gentle-mesh#125 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 76/100
Gentleman-Programming/gentle-ai#5643 ·
维护者通常 1 天内回复
-
security
难度 2/5 1-3 小时 新手友好度 80/100
FootprintAI/Containarium#2869 ·
维护者通常 1 天内回复
-
kind/bug
难度 2/5 1-3 小时 新手友好度 86/100
kubevirt/kubevirt#19559 · 1 个 reaction ·
维护者通常 1 天内回复