Tesuji確認日：2026年10月27日
GitHub Advisory Databaseは、オープンソースパッケージに関する脆弱性やマルウェアのアドバイザリを調べる入口です。依存ライブラリの問題を追うときは、パッケージ名とエコシステムを確認して利用します。
reviewedとunreviewedを区別する
公式ドキュメントでは、GitHub-reviewedとunreviewedの区別を説明しています。unreviewedにはNVDから取り込まれ、妥当性や完全性についてGitHubのレビューを受けていない情報があります。Dependabotが利用するのはGitHub-reviewedのアドバイザリです。GitHub公式の説明
記事に引用するときは、この状態に加えて、対象パッケージ、影響バージョン、修正情報、元の参照先を確認します。製品名が似ているという理由だけで、別のパッケージの告知を当てはめないようにします。
稼働中の依存関係と照合する
開発用の環境や宣言ファイルを更新しても、配布したアプリに同じ更新が入っているとは限りません。運用では、ロックファイルやビルド・配布の記録と照合し、何が実際に稼働しているかを確認することを提案します。
アドバイザリを見つけたら、更新先と互換性、再ビルド・再配布の要否、適用後の確認を記録します。データベースの情報は判断の入口として使い、利用構成に応じた影響を別途確認します。