Aikidoが依存関係内の特定の脆弱性やCVEを見つけないのはなぜですか

場合によっては、Aikido は他のツールよりも脆弱性の表示件数が少なくなることがあります。これにはいくつかの理由が考えられます:

• この脆弱性は Aikido のルールエンジンによって自動的に無視されています。Aikido は誤検知を避けるようにしています。この場合、脆弱性は次の 'Ignored' ビュー サイドバー内にあります。Aikido がこの脆弱性は影響しないと判断している理由の説明も表示されます。
• この脆弱性は開発者専用の依存関係としてマークされている可能性があります。 デフォルトでは、Aikido は開発マシンにのみインストールされている依存関係の脆弱性は報告しません。ここでの前提は、それらは本番環境には含まれず、公開中の製品のセキュリティに影響しないというものです。このような依存関係の例は次のとおりです:

  • npm の package.json にある開発用依存関係
  • Java の pom.xml で scope=test とマークされた依存関係

Aikido に開発用依存関係をスキャンさせることもできます。 詳細はこちら.