Перейти к содержимому
Noroxi

Проверка package-lock и SBOM на уязвимости

Проверка зависимостей (SBOM)

Загрузите package-lock.json, yarn.lock, pnpm-lock.yaml, composer.lock или файл CycloneDX/SPDX. Покажем, в каких зависимостях есть известные уязвимости, эксплуатируются ли они в реальных атаках (KEV) и до какой версии обновиться.

или вставьте

Файл разбирается в вашем браузере и на сервер не отправляется. На сервер уходит только список имён пакетов и версий; этот список и результат сопоставления сохраняются в нашем журнале использования.

Что такое SBOM и чем он отличается от lock-файла?

SBOM (software bill of materials, перечень компонентов ПО) — файл, в котором перечислены все пакеты приложения с версиями; распространённые форматы — CycloneDX и SPDX. Lock-файл (package-lock.json, yarn.lock, pnpm-lock.yaml, composer.lock) хранит те же сведения в формате вашего менеджера пакетов. «Проверка зависимостей» Noroxi читает оба вида файлов и сравнивает версию каждого пакета с диапазонами затронутых версий в записях OSV и GitHub Advisory Database.

Как читать результат

С уязвимостями
Компоненты, версия которых попадает в затронутый диапазон хотя бы одной записи. В каждой строке перечислены записи, затрагивающие компонент.
KEV
Уязвимости, эксплуатацию которых в реальных атаках подтвердило CISA. Закройте их первыми.
Обновить
Наибольшая из версий с исправлением, указанных в записях для этого компонента. «Нет исправления» — хотя бы одна из записей не сообщает версию с исправлением.
Пропущено
Зависимости разработки не сопоставляются: на рабочий сервер они не попадают. Записи без точной версии (диапазон, git-адрес, локальный путь) сравнить нельзя.

Частые вопросы

Мой файл загружается на ваш сервер?
Нет. Файл разбирается в браузере; на сервер уходит только список названий пакетов и версий. Этот список и результат сопоставления сохраняются в нашем журнале использования.
Чем это отличается от npm audit?
Данные об уязвимостях те же: GitHub Advisory Database, которой пользуется и npm audit. Отличие во входе и выходе: страница читает ещё lock-файлы Composer и списки CycloneDX/SPDX, не требует доступа к репозиторию и показывает статус KEV вместе с результатом.
Если ничего не найдено, зависимости чисты?
Гарантии это не даёт. Сравниваются только пакеты, для которых есть запись в OSV или GitHub Advisory Database; уязвимость без записи или ещё не опубликованная не появится.
Кода нет, есть только адрес сайта. Что можно сделать?
Тест «Уязвимости JS-библиотек» работает по домену и читает библиотеки, которые сайт отдаёт браузеру. Серверные зависимости он не видит: для них нужен lock-файл.

Первоисточники

Связанные инструменты

  • Уязвимости JS-библиотек

    Работает по домену: читает библиотеки и версии, которые сайт отдаёт браузеру.

  • CVE по баннеру

    Вставьте строку с версией сервиса и посмотрите известные уязвимости этой версии.

  • API и MCP

    Та же проверка по ключу: POST /api/v1/sbom и инструмент scan_sbom.