关于 CVE-2026-59954 / GHSA-4w3q-qpfq-v992 受影响 Maven 包范围的疑问与修正建议

[half-watermelon]

问题背景

贵项目披露的 CVE-2026-59954（GHSA-4w3q-qpfq-v992）描述了 ConfigService 在启用 AccessKey/管理密钥认证时的 appId 解析绕过问题，这一点我没有异议。

但我发现该 advisory 的受影响范围标注，导致实际漏洞代码之外的模块被误判，想与维护者确认并建议修正。

具体情况

1. 修复 commit 310809d 改动文件全部位于 apollo-configservice/ 模块：

   • configservice/util/AccessKeyUtil.java
   • configservice/ConfigServiceAutoConfiguration.java
     没有任何 apollo-core 模块的文件被改动。

2. 该漏洞属于服务端（configservice）问题，而 GHSA/OSV 登记的受影响 Maven 包却是父 POM：
   com.ctrip.framework.apollo:apollo（<= 2.0.1）。

3. 由于 apollo-configservice 并未发布到 Maven Central，主流扫描器（Dependabot、Trivy、Grype 等）在无法匹配 configservice 坐标的情况下，会把该 CVE 映射到 Central 上同 groupId 的客户端库 apollo-core、apollo-client，导致使用客户端 SDK 的项目被误报为存在该漏洞。

期望

• 能否在 advisory 中明确说明该漏洞仅影响服务端 configservice 模块，客户端库（apollo-core / apollo-client）不受影响？
• 或考虑将受影响包/版本范围做更精确的限定，减少对客户端使用者的误报。

感谢！

[github-actions]

🤖

感谢你提供的详细反馈！这是一个合理的问题。

你的分析很清楚：CVE-2026-59954 的修复确实仅涉及 apollo-configservice 模块，而当前 advisory 标记的受影响包为父 POM com.ctrip.framework.apollo:apollo，导致扫描工具将漏洞误报到客户端库（apollo-core、apollo-client）。

这属于 GitHub Security Advisory 元数据范围配置问题。维护者会评估：

1. 如何更精确地在 advisory 中限定受影响模块（仅 configservice 服务端）
2. 是否需要更新 advisory 说明，明确客户端库不受影响

标记为 area/security 和 need investigation，相关维护者会跟进处理。再次感谢你细致的分析！

AI generated by Apollo Issue Triage

[nobodyiam]

已确认，这个反馈是有效的。这里需要区分两个层面的元数据：

1. Apollo repository advisory 里，受影响组件登记为 other / Apollo ConfigService，版本范围是 <= 2.5.1，patched version 是 2.5.2。
2. 但 GitHub Advisory Database / OSV 公开同步出来的 global advisory 被映射成了 Maven 包 com.ctrip.framework.apollo:apollo。这确实可能让依赖扫描器把一个 ConfigService 服务端漏洞错误关联到 Maven 客户端库使用场景。

从代码和发布物看，这个漏洞只影响服务端 ConfigService：

• 修复 commit 310809d 只修改了 apollo-configservice 下的认证逻辑和测试。
• com.ctrip.framework.apollo:apollo 是 Apollo root parent POM，不是客户端 jar。
• apollo-core、apollo-client、apollo-openapi 是独立 Maven artifact，不是本次漏洞的受影响组件。
• apollo-configservice 本身没有作为 Maven Central 上的独立 artifact 发布。

因此，客户端 SDK 使用者仅依赖 apollo-core / apollo-client / apollo-openapi 时，不应被视为受此 CVE 影响。受影响的是运行 vulnerable Apollo ConfigService 服务端版本、并启用了 AccessKey / management key 认证的部署。

已完成/正在跟进的动作：

1. 已在 repository advisory 描述中补充“仅影响 ConfigService 服务端，客户端库不受影响”的说明。
2. 已向 GitHub Advisory Database 提交修正 PR：
   • GHSA-4w3q-qpfq-v992: Correct Apollo ConfigService package scope for GHSA-4w3q-qpfq-v992 github/advisory-database#9167
   • GHSA-h4pc-58cc-hc95: Correct Apollo ConfigService package scope for GHSA-h4pc-58cc-hc95 github/advisory-database#9168
3. 另外核查到 GHSA-jxpj-9j24-w337 也存在同类 global advisory package mapping 问题，也已提交修正 PR：
   • GHSA-jxpj-9j24-w337: Correct Apollo Portal package scope for GHSA-jxpj-9j24-w337 github/advisory-database#9169

Thanks for reporting this. This is a metadata accuracy issue worth fixing.