De exacte versie die meegaat
Een regel als alles vanaf 1.5 is geen antwoord. Hier staat de versie die daadwerkelijk is geïnstalleerd.
software-inventaris
Een bill of materials waar je vragen aan kunt stellen.
Elk pakket dat in je applicaties terechtkomt, wat het daar bracht, en welke ervan een bekende kwetsbaarheid raakt. Actueel gehouden door dezelfde runs die de applicatie zelf testen.
1,284 packages5 affected
rreact19.1.0
aaxios1.8.1high
zzod3.24.2
llodash4.17.20high
vvite6.2.2medium
eexpress4.19.2low
pprisma6.5.0
ttailwindcss4.1.3
next15.2.2criticalAuthorization bypass in middlewareDirect dependency · used by 2 assets
Fixed in15.2.3
01 / Ermee werken
Van een pakketnaam naar de regel die je wijzigt.
Elk pakket opent tot wat het raakt, wat het binnenbracht en wat er nodig is om het te verplaatsen.
Matching
Hoe een pakket een bevinding wordt.
Vergeleken met de versie die er echt staat, niet met een naam die erop lijkt. De opgeloste versie geldt als bewezen; het bereik dat iemand in een manifest typte wordt apart getoond.
- De zwaarste ernst per pakket
- De versie die het oplost, en hoeveel assets geraakt worden
- Open, opgelost of genegeerd, per pakket
- Of één regel per advisory, doorzoekbaar op CVE
Advisories
Authorization bypass in middlewareOne request header makes Next.js skip middleware, so any sign-in check done there never runs.affected< 15.2.3· fixed in 15.2.3
Assets app.acme.io interopt/web-dashboard
Resolved version, not the range^15.2.0 in package.json · 15.2.2 installed
Bereikbaarheid
Waarom een pakket er überhaupt is.
Een transitief pakket zit alleen in je build omdat iets wat jij declareerde ervan afhangt. De kortste keten vanaf elke directe dependency wordt getoond, zodat je weet welke naam je echt kunt wijzigen.
- Een keten voor elke directe dependency die het bereikt
- Gedeclareerde pakketten laten zien waar ze gedeclareerd staan
Declared by you
Pulled in by them
express
stripe
@acme/sdk
body-parser
superagent
qs6.11.0transitivemedium
Three routes in, and each one upgrades on its own.Bumping express does not change what stripe resolves.Fixed in6.11.1
Stack
De leesbare helft, apart gehouden.
De volledige lijst loopt tot duizend regels. De stack is de korte versie die een mens echt leest: de talen, frameworks, databases en infrastructuur waarop een asset gebouwd is.
Assets
interopt/billing-api
OverviewFindingsScansTechnologiesDependencies
TechnologyVersionSource
Languages1
TypeScript5.6.3npm
Runtimes1
Node.js20.18.0—
Frameworks1
Express4.21.1npm
Data stores2
PostgreSQL16.4—
Redis7.4.1—
Infrastructure1
Docker——
6 technologies detected
Upgraden
Een upgrade die meeneemt wat mee moet.
Upgrade bekijken leest de repository en toont de manifestwijzigingen voor de opgeloste versie, samen met elk pakket dat eraan vastzit, op elke plek waar het pakket vermeld staat. Download het als patch.
- Gekoppelde pakketten worden nooit los geüpgraded
- Ververst op het schema dat je instelt, dus het beschrijft wat vandaag draait
cookie0.6.00.7.0 Open pull request
expresshas to move with it, to4.21.1
apps/api/package.json
14− "express": "^4.19.2",
14+ "express": "^4.21.1",
15− "cookie": "^0.6.0",
15+ "cookie": "^0.7.0",
02 / Inventaris
Wat de inventaris vastlegt.
Opgebouwd uit wat er werkelijk geïnstalleerd wordt, niet uit wat iemand heeft opgeschreven.
Die je koos, en die meekwamen
Het meeste van wat een applicatie installeert heeft niemand in je team gekozen. Daar zit het risico.
Elke plek waar een pakket staat
In een grote codebase staat hetzelfde pakket in meerdere projecten, en één aanpassen laat de rest achter.
Waarom een pakket er überhaupt is
De kortste keten terug naar iets dat je wél koos, wat een kale lijst niet beantwoordt.
03 / Vragen
Vragen over de inventaris.
begin hier
Zie wat er werkelijk in je applicaties zit.
Koppel een repository en de eerste run levert de inventaris naast de bevindingen, met de ketens en de fix-versies al uitgezocht.