03/10/2026 · VietTechies · Biên tập
GitHub vừa ra mắt các biểu mẫu định dạng dành cho tính năng báo cáo lỗ hổng bảo mật riêng tư, nhằm hỗ trợ người quản trị kho lưu trữ lọc bỏ những báo cáo kém chất lượng hoặc do AI tạo ra. Hệ thống mặc định thay thế khung nhập văn bản tự do bằng các trường dữ liệu chuẩn hóa, đảm bảo các nhà nghiên cứu bảo mật cung cấp đầy đủ thông tin chi tiết cần thiết trước khi gửi.
Các Yêu Cầu Nộp Báo Cáo Chuẩn Hóa
Biểu mẫu báo cáo lỗ hổng mặc định yêu cầu nội dung tiết lộ phải chứa bốn trường cụ thể: tóm tắt, chi tiết kỹ thuật, bằng chứng thực nghiệm (Proof of Concept) với độ dài tối thiểu 150 ký tự, và đánh giá mức độ ảnh hưởng bảo mật. GitHub sẽ hợp nhất các câu trả lời này trực tiếp vào phần mô tả cảnh báo, giữ nguyên quy trình xem xét và chỉnh sửa hiện tại của người quản trị.
Nhằm giải quyết tình trạng gia tăng các báo cáo tự động, biểu mẫu cũng bổ sung một ô đánh dấu tiết lộ riêng, cho phép người báo cáo xác nhận liệu họ có sử dụng các công cụ AI để phát hiện hoặc soạn thảo nội dung hay không.
Tùy Chỉnh Kho Lưu Trữ Và Các Tùy Chọn Bắt Buộc
Người quản trị có thể áp dụng biểu mẫu báo cáo tùy chỉnh bằng cách tạo tệp `.github/VULNERABILITY_REPORT.yml` trong nhánh mặc định của kho lưu trữ hoặc áp dụng cho toàn tổ chức thông qua kho lưu trữ `.github` trung tâm. Biểu mẫu này sử dụng cú pháp biểu mẫu issue của GitHub và cho phép cấu hình yêu cầu độ dài ký tự tối thiểu. Nếu cấu hình biểu mẫu tùy chỉnh bị lỗi, GitHub sẽ tự động chuyển về sử dụng biểu mẫu mặc định.
Quản trị viên cũng có thể yêu cầu người báo cáo phải chọn phân loại Common Weakness Enumeration (CWE) trước khi gửi thông qua phần cài đặt bảo mật của kho lưu trữ. Quản trị viên tổ chức và doanh nghiệp có thể áp dụng bắt buộc quy định CWE này trên tất cả các kho lưu trữ thông qua chính sách chung.
Tích Hợp API Và Phân Hạng Gói Dịch Vụ
Các biểu mẫu tùy chỉnh sẽ ảnh hưởng đến việc gửi báo cáo qua GitHub REST API. Mặc dù các tích hợp API hiện tại vẫn tiếp tục hoạt động với biểu mẫu mặc định mà không bị bắt buộc quy tắc mới, các báo cáo API gửi đến kho lưu trữ có biểu mẫu tùy chỉnh phải tuân thủ đúng các trường đã định nghĩa. Khi một báo cáo API thất bại trong khâu kiểm tra tính hợp lệ, GitHub sẽ trả về thông báo lỗi kèm đường dẫn đến điểm cuối (endpoint) mới hiển thị cấu trúc biểu mẫu đang áp dụng.
Nếu kho lưu trữ chứa tệp `SECURITY.md` tiêu chuẩn, GitHub sẽ hiển thị một biểu ngữ nổi bật dẫn đến chính sách đó trước khi nhà nghiên cứu gửi báo cáo. Tính năng này khả dụng cho các kho lưu trữ công khai đã bật tính năng báo cáo lỗ hổng riêng tư trên các gói GitHub Free, GitHub Pro, GitHub Team và GitHub Enterprise Cloud.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.