Für CVE-2026-51302 behauptete das Advisory eine Use-after-free in exprComputeOperands in SQLite 3.41.0. Die Funktion gab es in dieser Fassung noch nicht; auch jsonBlobEdit fehlte dort. Zeilennummern lagen hinter dem Dateiende, und der mitgelieferte Code führte laut The Register nur eine gültige Abfrage aus.
Die sechs SQLite-Nummern betrafen außerdem die Versionen 3.51.2 und 3.51.3. Im Repository lagen 49 weitere Meldungen zu libraw und ESP32-audioI2S. JFrog stufte 54 Einreichungen als komplett erfunden ein; eine enthielt einen echten Fehler in ungeprüften CVE-Metadaten. MITRE wies die Sammlung zurück.
Red Hat änderte die Bewertung einer Meldung von 10,0 Critical auf 7,6 High; das NVD führte Werte zwischen 9,8 und 7,5. Die Geschichte zeigt damit zwei getrennte Probleme: KI kann plausible Advisories billig erzeugen, und automatisierte Datenbanken können sie weiterreichen, bevor jemand die behauptete Codestelle prüft. JFrog verkauft selbst Sicherheitssoftware; die unabhängige Rezeption bestätigt die Kernpunkte.