İçeriğe atla
Noroxi

package-lock ve SBOM açık taraması (npm audit)

Bağımlılık taraması (SBOM)

package-lock.json, yarn.lock, pnpm-lock.yaml, composer.lock ya da CycloneDX/SPDX dosyanızı yükleyin. Hangi bağımlılığınızda bilinen açık olduğunu, sahada sömürülüp sömürülmediğini (KEV) ve hangi sürüme yükseltmeniz gerektiğini gösterir.

ya da yapıştırın

Dosya tarayıcınızda ayrıştırılır ve sunucuya gönderilmez. Sunucuya yalnızca paket adı ve sürüm listesi gider; bu liste ve eşleşme sonucu kullanım kaydımızda saklanır.

SBOM nedir, kilit dosyasından farkı ne?

SBOM (Software Bill of Materials, yazılım malzeme listesi), bir uygulamanın içindeki bütün paketleri sürümleriyle sayan dosyadır; yaygın biçimleri CycloneDX ve SPDX'tir. Kilit dosyası (package-lock.json, yarn.lock, pnpm-lock.yaml, composer.lock) aynı bilgiyi paket yöneticinizin kendi biçiminde tutar. Noroxi Bağımlılık taraması ikisini de okur ve her paketin sürümünü OSV ve GitHub Advisory Database kayıtlarındaki etkilenen sürüm aralıklarıyla karşılaştırır.

Sonuç nasıl okunur

Açığı olan
Sürümü en az bir kaydın etkilenen aralığına giren bileşenler. Her satırda bileşeni etkileyen kayıtlar listelenir.
KEV
CISA'nın sahada sömürüldüğünü doğruladığı açıklar. Önce bunları kapatın.
Yükselt
Bileşeni etkileyen kayıtların bildirdiği düzeltme sürümlerinin en büyüğü. “Düzeltme yok”, kayıtlardan en az birinin düzeltme sürümü bildirmediğini söyler.
Atlananlar
Geliştirme bağımlılıkları canlıya gitmediği için eşlenmez. Tam sürümü olmayan girdiler (aralık, git adresi, yerel yol) karşılaştırılamaz.

Sık sorulan sorular

Dosyam sunucunuza yükleniyor mu?
Hayır. Dosya tarayıcınızda ayrıştırılır; sunucuya yalnızca paket adı ve sürüm listesi gider. Bu liste ve eşleşme sonucu kullanım kaydımızda saklanır.
npm audit'ten farkı ne?
Açık verisi aynı kaynaktan gelir: npm audit'in de kullandığı GitHub Advisory Database. Fark girdide ve çıktıda: bu sayfa Composer kilit dosyalarını ve CycloneDX/SPDX listelerini de okur, kod deposuna erişim istemez ve sonucu KEV durumuyla birlikte verir.
Açık bulunmadıysa bağımlılıklarım temiz mi?
Bu bir garanti değildir. Yalnızca OSV ve GitHub Advisory Database'de kaydı olan paketler karşılaştırılır; kaydı olmayan ya da henüz yayımlanmamış bir açık görünmez.
Kodum yok, yalnızca sitenin adresi var. Ne yapabilirim?
JavaScript kütüphane açıkları testi alan adıyla çalışır ve sitenin tarayıcıya gönderdiği kütüphaneleri okur. Sunucu tarafındaki bağımlılıkları göremez; onlar için kilit dosyası gerekir.

Birincil kaynaklar

İlgili araçlar