Editing a repository security advisory

You can edit the metadata and description for a repository security advisory if you need to update details or correct errors.

Qui peut utiliser cette fonctionnalité ?

Propriétaires de référentiels, propriétaire d’organisations, gestionnaires de sécurité et utilisateurs avec le rôle d’administrateur

Dans cet article

Remarque

Cet article s’applique aux avis de sécurité au niveau du référentiel dans un référentiel public. Pour modifier un avis à portée globale dans GitHub Advisory Database, voir Modification des avis de sécurité dans la base de données d’avis de GitHub.

Editing a security advisory

You can also use the REST API to edit repository security advisories. For more information, see Points de terminaison d’API REST pour les avis de sécurité de référentiels.

  1. Sur GitHub, accédez à la page principale du référentiel.

  2. Sous le nom du référentiel, cliquez sur l’onglet Security and quality . Si vous ne voyez pas l’onglet « Security and quality », sélectionnez le menu déroulant, puis cliquez sur Security and quality.

  3. Dans la barre latérale gauche, sous « Rapports », cliquez sur Avis.

  4. In the "Security Advisories" list, click the name of the security advisory you'd like to edit.

  5. In the upper-right corner of the details for the security advisory, click Edit advisory. This will open the security advisory form in edit mode.

  6. Utilisez le menu déroulant Identificateur CVE pour spécifier si vous disposez déjà d’un identificateur CVE ou si vous prévoyez d’en demander un à GitHub ultérieurement. Si vous disposez d’un identificateur CVE existant, sélectionnez J’ai un identificateur CVE existant pour afficher un champ CVE existant, puis tapez l’identificateur CVE dans le champ. Pour plus d’informations, consultez « Avis de sécurité des dépôts ».

  7. Dans le champ Description, tapez une description de la vulnérabilité de sécurité, y compris son impact, tous les correctifs ou solutions de contournement disponibles et toutes les références.

  8. Sous « Produits affectés », définissez l’écosystème, le nom du package, les versions affectées/corrigées et les fonctions vulnérables pour la vulnérabilité de sécurité décrite dans cet avis de sécurité. Le cas échéant, vous pouvez ajouter plusieurs produits affectés au même avis en cliquant sur Ajouter un autre produit affecté.

    Pour plus d’informations sur la façon de spécifier des informations sur le formulaire, y compris les versions affectées, consultez Meilleures pratiques pour l’écriture des avis de sécurité de référentiels.

  9. Définissez la gravité de la vulnérabilité de sécurité à l’aide du menu déroulant Gravité. Si vous souhaitez calculer un score CVSS, sélectionnez Évaluer la gravité à l’aide de CVSS, puis sélectionnez les valeurs appropriées dans le calculateur. GitHub calcule le score en fonction du Calculateur du système commun d'évaluation des vulnérabilités.

  10. Sous « Faiblesses », dans le champ Énumérateur de faiblesse commun, tapez les énumérateurs de faiblesse communs (SCF) qui décrivent les types de faiblesses de sécurité signalés par cet avis de sécurité. Pour obtenir la liste complète des énumérateurs de failles courantes, consultez la section Common Weakness Enumeration de MITRE.

  11. Optionally, under "Credits", remove existing credits, or use the search box to find additional people you want to credit on the security advisory, then click their username to add them.

    • Use the dropdown menu next to the name of the person you're crediting to assign a credit type. For more information about credit types, see Création d’un avis de sécurité de dépôt.

      Screenshot of a draft security advisory. A dropdown menu, labeled "Choose a credit type," is highlighted with an orange outline.

    • Optionally, to remove someone, click the next to the credit type.

  12. Click Update security advisory.

Les personnes listées dans la section « Crédits » recevront un e-mail ou une notification web les invitant à accepter le crédit. Si une personne accepte, son nom d’utilisateur est visible publiquement une fois que l’avis de sécurité est publié.

Further reading