GitHub Advisory Database 允许您浏览或搜索影响 GitHub 上开源项目的漏洞。

关于安全漏洞

漏洞是项目代码中的问题，可能被利用来损害机密性、完整性或者该项目或其他使用其代码的项目的可用性。漏洞的类型，严重性和攻击方法各不相同。

如果我们检测到GitHub咨询数据库中的任何漏洞影响了您的存储库所依赖的软件包，则GitHub将向您发送GitHub Dependabot警报。更多信息请参阅“关于易受攻击的依赖项的警报”。

关于 GitHub Advisory Database

GitHub Advisory Database 包含已映射到 GitHub 依赖关系图跟踪的软件包的安全漏洞列表。我们从以下来源向 GitHub Advisory Database 添加漏洞：

• 国家漏洞数据库
• 机器学习和人工审查结合检测 GitHub 上公共提交中的漏洞
• 在GitHub上报告的安全公告
• FriendsOfPHP

每个安全通报都包含有关漏洞的信息，包括描述，严重性，受影响的程序包，程序包生态系统，受影响的版本和修补的版本，影响以及可选信息，例如参考，解决方法和信用。此外，国家漏洞数据库列表中的公告包含 CVE 记录链接，通过链接可以查看漏洞、其 CVSS 得分及其质化严重等级的更多详细信息。 更多信息请参阅国家标准和技术研究所 (National Institute of Standards and Technology) 的“国家漏洞数据库”。

我们在常见漏洞评分系统 (CVSS) 第 2.1.2 节中定义了以下四种可能的严重性等级：

• 低
• 中
• 高
• 关键

GitHub咨询数据库使用上述的CVSS 3.0版标准和CVSS级别。GitHub不会发布CVSS分数。

您也可以加入 GitHub Security Lab，以便浏览安全主题并参与安全工具和项目。

访问 GitHub Advisory Database 中的通告

1. 导航到 https://github.com/advisories。

1. （可选）要过滤列表，请使用任何下拉菜单。

1. 单击任何通告以查看详情。

也可以使用 GraphQL API 访问数据库。 更多信息请参阅“security_advisory web 挂钩事件”。

搜索 GitHub Advisory Database

您可以搜索数据库，并使用限定符将搜索范围缩小到在特定日期、特定生态系统或特定库中创建的公告。

日期格式必须遵循 ISO8601标准，即 YYYY-MM-DD（年-月-日）。 您也可以在日期后添加可选的时间信息 THH:MM:SS+00:00，以便按小时、分钟和秒进行搜索。 这是 T，随后是 HH:MM:SS（时-分-秒）和 UTC 偏移 (+00:00)。

日期支持大于、小于和范围限定符。

延伸阅读

• MITRE 的“漏洞”定义