jsonorg-fp1

json.org CVE-2022-45688 نتيجة إيجابية خاطئة

يحتوي المشروع على تبعية json.org مع CVE-2022-45688 لكنه لا يستدعي الفئة المعرّضة للخطر. لذلك لا يمكن استغلال الثغرة لشن هجوم حجب الخدمة (DoS).

التحليلات المعتمدة على البيانات الوصفية لتكوين البرمجيات ستنتج نتيجة إيجابية خاطئة، بينما التحليلات المعتمدة على رسم استدعاءات الدوال (callgraph) لن تصنف هذا التطبيق كمعرّض للخطر.

تشغيل تحليلات تكوين البرمجيات

توجد عدة سكربتات sh لتشغيل تحليلات مختلفة، ويمكن العثور على تقارير النتائج في scan-results.

إنشاء الـ SBOM

يحتوي pom.xml على إضافة لتوليد SBOM بصيغة CycloneDX. للقيام بذلك، شغّل mvn cyclonedx:makePackageBom، يمكن العثور على الـ SBOM في target/ بصيغتي json و xml.