GitHub расширил данные об уязвимостях в GraphQL API
GitHub добавил сведения о CVE, исходном коде и датах проверки в GraphQL API, а также фильтры по серьёзности и отозванным уведомлениям. Разбираем применение для контроля компонентов веб-систем и пределы такой проверки.
Коротко
GitHub расширил программный доступ к базе уведомлений об уязвимостях. Команды могут точнее отбирать записи и получать дополнительные сведения одним запросом. Само наличие записи не доказывает, что ваш сайт использует уязвимый компонент.
2 октября GitHub расширил GraphQL API своей базы уведомлений об уязвимостях. API позволяет программе получать сведения напрямую, а GraphQL даёт возможность указать нужный набор данных в запросе.
Теперь доступны идентификатор CVE, ссылка на соответствующий исходный код, даты проверки GitHub и публикации записи в NVD, а также ссылка на уведомление репозитория. Новые фильтры помогают отбирать записи по серьёзности и признаку отзыва. Изменение добавочное и предназначено для чтения: прежние запросы продолжают работать.
Зачем это команде веб-системы
Допустим, внутренний сервис использует сторонние библиотеки. Команда может настроить получение уведомлений, а затем сопоставлять их с версиями компонентов своего проекта. Это условный сценарий, а не результат нашего внедрения.
На наш взгляд, в компании «Гуси-Лебеди» полезно начинать с такого сопоставления: общий список угроз без связи с используемыми версиями создаёт лишнюю работу. При интеграции сайта с внешними сервисами стоит сохранять ссылку на исходное уведомление, чтобы сотрудник мог проверить основание предупреждения.
Уведомление ещё нужно разобрать
Запись в базе описывает проблему компонента, но сама по себе не устанавливает её наличие в конкретном сайте. Нужно проверить установленную версию и условия использования. Отозванные записи также нельзя автоматически считать актуальными предупреждениями.
Практический шаг: возьмите одну библиотеку из проекта, сравните её версию с соответствующим уведомлением и проверьте, что ваша система правильно обрабатывает обновление или отзыв записи.
Источник: официальная публикация разработчика. Дата события: 2026-10-02.
