非公開の脆弱性報告向け構造化フォームStructured forms for private vulnerability reports
匿名の公開いいねです。記事の保存・お気に入りではなく、Featured、Top 3、重要度、掲載順位には影響しません。仕組みとプライバシーAnonymous public likes are reactions, not saved articles or bookmarks. They do not affect Featured, Top 3, importance, or listing order.How it works and privacy
- GitHubの非公開脆弱性報告に、概要、詳細、150文字以上の概念実証、影響の4項目を必須とする構造化フォームが導入された。
- 設定ファイルでフォームを調整でき、保守担当者が報告の有用性を判断しやすくなる。
GitHub private vulnerability reports now use a four-field form for a summary, details, impact, and a proof of concept of at least 150 characters, helping maintainers triage submissions.
本ページの本文と要約は AI による自動生成です。日本語版と英語版は言語ごとに独立して生成されるため、表現や詳しさが異なる場合があります。正確性は元記事 (github.blog) をご確認ください。The body and summaries are AI-generated independently for each language, so wording and detail may differ. Verify accuracy at the original source (github.blog).
要約と収集メタデータに基づく AI 解説。元記事全文の転載・翻訳ではありません。AI explainer based on the summaries and collected metadata, not a copy or translation of the full source article.
構造化フォーム
GitHubの非公開脆弱性報告に、報告者へ必要な情報を求める構造化フォームが導入された。再現可能な概念実証を含む情報を一定の形式で集めることで、保守担当者が脆弱性を評価しやすくする仕組みだ。
4項目を必須化
標準のフォームでは、概要、詳細、概念実証、影響の4項目が必須となる。概念実証には150文字以上という条件が設けられており、脆弱性を再現するための情報を具体的に記入するよう求める。各項目への回答はアドバイザリーの説明文にまとめられるため、保守担当者は従来どおり報告内容を確認し、必要に応じて編集できる。
自由記述の課題
単一の自由記述欄では、内容の乏しい報告やAI生成の報告を簡単に送信でき、有用な情報を見つけにくいという問題があった。構造化フォームは、評価に必要な情報を項目ごとに分けて入力させる。特に概念実証へ最低文字数を設定することで、報告に求める詳細度を明示できる。
フォームの調整
フォームは、リポジトリのデフォルトブランチに「.github/VULNERABILITY_REPORT.yml」を追加して調整できる。所有するすべてのリポジトリへ適用する場合は、組織またはアカウントの「.github」リポジトリに同ファイルを追加する。フォームにはissue form構文を使用し、各フィールドでは「min_length」によって最低限必要な記述量を指定できる。
Structured form
GitHub private vulnerability reports can now use a structured form designed to collect the information maintainers need to assess a vulnerability. The change matters because it helps maintainers triage submissions and identify useful details more easily.
Previously, a single free-text box made it easy to submit low-quality or AI-generated reports. It also made it difficult for maintainers to find the relevant signal within those submissions.
Four required fields
By default, reporters must complete four required fields: summary, details, proof of concept, and impact. The proof of concept must contain at least 150 characters, establishing a minimum amount of information for that part of the report.
The form specifically asks for a reproducible proof of concept alongside the vulnerability’s summary, supporting details, and impact. This structure gives maintainers a consistent set of answers to use when assessing each private report.
Advisory description
Answers from the four fields are combined into the advisory description. Maintainers can then review and edit the submitted report in the same way they do today.
The structured form therefore changes how information is collected without changing the stated review and editing process. Instead of receiving all information through one free-text box, maintainers receive a description assembled from the reporter’s responses to the required fields.
Customize the form
Repository owners can customize the form by adding a .github/VULNERABILITY_REPORT.yml file to the repository’s default branch. A form can also be applied to all repositories an organization or account owns by adding the file to that organization or account’s .github repository.
The forms use issue form syntax. Their fields support min_length, allowing owners to require a minimum level of detail rather than relying only on the default requirements.
ポコとTECHガイドPoko & TECH Guide
ポコと当サイトのTECHガイドが、記事の要約と収集した情報から読みどころを語るAI生成の対話です。Poko and TECH Dashboard's own TECH Guide discuss the article's highlights in an AI-generated conversation based on its summary and collected source details.
- ポコPokoGitHubの非公開脆弱性報告、なぜ4項目を必須にしたの？概念実証が150文字以上なのも気になる。Why did GitHub make four fields mandatory for private vulnerability reports? I’m especially curious about the 150-character minimum for the proof of concept.
- TECHガイドTECH Guide自由記述だけだと、質の低い報告やAI生成の報告から重要情報を見つけにくかったんだ。概要、詳細、再現できる概念実証、影響を標準で必須にしたよ。A single free-text box made useful details hard to spot among low-quality or AI-generated reports. The default form now requires a summary, details, impact, and a reproducible proof of concept.
- ポコPokoじゃあ、保守担当者が「調べるべき報告か」を判断しやすくなるってこと？So this helps maintainers decide whether a report is useful enough to investigate?
- TECHガイドTECH Guideそう。必要な情報が同じ形で集まり、回答はアドバイザリの説明にまとめられるから、これまでどおり確認して編集できるんだ。Yes. The required details arrive in a consistent format, and the answers are combined into the advisory description for maintainers to review and edit as before.
- ポコPokoなるほど、報告の入口で情報をそろえて、保守担当者が判断しやすくする仕組みなんだね。Got it—the form gathers the needed details up front so maintainers can assess reports more easily.
- TECHガイドTECH Guideうん。標準では4項目が必須だけど、既定ブランチの設定ファイルで項目や最小文字数を調整できる点も押さえておこう。Right. Four fields are required by default, but maintainers can customize the form and minimum lengths through a configuration file on the default branch.
