UIとPRのバージョン差分

AutoFix UI と AutoFix Pull Request の間でバージョンに若干の差異が生じることがあると想定されています。最小のバージョン引き上げによって新たな CVE が発生した場合、AutoFix は Pull Request を反復し、バージョンを調整してその新しい CVE も解消します。その結果、CVE の数が少ない、より良い Pull Request になります。

AutoFix UI では、ライブラリ内の該当 CVE に対処するために必要な最小のバージョン引き上げを表示します。ただし、その特定のバージョンによっては他の CVE が導入される場合があります。たとえば、あるライブラリのバージョン 1.2.0 には重大な脆弱性が含まれており、その脆弱性はバージョン 1.2.1 で修正されますが、その修正によって新たに高リスクの脆弱性が導入されます。その後、両方の問題を修正したバージョン 1.2.2 がリリースされました。Aikido UI では、重大な脆弱性の修正バージョンとして 1.2.1 を表示しますが、AutoFix がアップグレードを実行すると高リスクの脆弱性に気付き、バージョン 1.2.2 へアップグレードすることを選びます。これにより、別の AutoFix が必要になる新たな高リスク脆弱性を導入しないようにできます。