关于 CVE-2026-59954 / GHSA-4w3q-qpfq-v992 受影响 Maven 包范围的疑问与修正建议

### 问题背景

贵项目披露的 CVE-2026-59954（GHSA-4w3q-qpfq-v992）描述了 ConfigService 在启用 AccessKey/管理密钥认证时的 appId 解析绕过问题，这一点我没有异议。

但我发现该 advisory 的受影响范围标注，导致实际漏洞代码之外的模块被误判，想与维护者确认并建议修正。

### 具体情况

1. 修复 commit 310809d 改动文件全部位于 `apollo-configservice/` 模块：
- `configservice/util/AccessKeyUtil.java`
- `configservice/ConfigServiceAutoConfiguration.java`
没有任何 `apollo-core` 模块的文件被改动。

2. 该漏洞属于服务端（configservice）问题，而 GHSA/OSV 登记的受影响 Maven 包却是父 POM：
`com.ctrip.framework.apollo:apollo`（<= 2.0.1）。

3. 由于 `apollo-configservice` 并未发布到 Maven Central，主流扫描器（Dependabot、Trivy、Grype 等）在无法匹配 configservice 坐标的情况下，会把该 CVE 映射到 Central 上同 groupId 的客户端库 `apollo-core`、`apollo-client`，导致使用客户端 SDK 的项目被误报为存在该漏洞。

### 期望

- 能否在 advisory 中明确说明该漏洞仅影响服务端 configservice 模块，客户端库（apollo-core / apollo-client）不受影响？
- 或考虑将受影响包/版本范围做更精确的限定，减少对客户端使用者的误报。

感谢！