Разработчики JavaScript и TypeScript на GitHub Enterprise Cloud получили public preview анализа достижимости Dependabot. Он показывает, есть ли путь вызовов из приложения к уязвимой функции зависимости, помогая выбирать, какие оповещения исправлять первыми.
CodeQL строит граф вызовов и добавляет вердикт к оповещению. Потенциально достижимые уязвимости следует считать достижимыми; отсутствие найденного пути снижает приоритет, но не закрывает оповещение. Результаты доступны и через REST API.
Функция отключена по умолчанию; нужны Dependabot alerts и lockfile npm, Yarn или pnpm. Во время preview анализ бесплатен, без лицензии Advanced Security и оплаты минут Actions. Поддерживаются только GitHub-hosted runners; некоторые монорепозитории и структуры с несколькими манифестами могут не поддерживаться.
Выберите способ входа или оставьте комментарий как гость ниже.