---
title: 脆弱性
description: 見つかった脆弱性の読み方、重大度、修正版、対応状況の管理。
---

登録したパッケージのバージョンに影響する脆弱性は、[OSV](https://osv.dev/)（Open Source Vulnerabilities）のデータベースで調べています。GitHub Security Advisories や PyPI のアドバイザリなど、主要なデータを横断して確認できます。

## 一覧の見方

![脆弱性の一覧](/screenshots/ja/vulnerabilities.png)

サイドバーの「脆弱性」で、見えているプロジェクト全体の脆弱性を確認できます。プロジェクトの「脆弱性」タブでは、そのプロジェクトの分だけが表示されます。

| 列 | 内容 |
| --- | --- |
| 重大度 | CRITICAL / HIGH / MEDIUM / LOW / UNKNOWN と、分かる場合は CVSS スコア |
| プロジェクト | 影響を受けるプロジェクト |
| パッケージ | エコシステムとパッケージ名・バージョン |
| 修正版 | 今のバージョンより新しい修正版のうち、もっとも小さいバージョン。ここまで上げれば解消します |
| 脆弱性 | 脆弱性の ID（GHSA・PYSEC など）と CVE などの別名、概要。ID を押すと osv.dev の詳細が開きます |
| 検知日時 | Vectana が最初に見つけた日時 |
| 状態 | 対応状況 |

一覧は重大度の高い順に並びます。右上でキーワード・重大度・状態で絞り込めます。

### 重大度について

重大度はアドバイザリに記載された評価（GitHub の Critical / High / Moderate / Low など）を優先し、ない場合は CVSS スコアから判定します（9.0 以上: CRITICAL、7.0 以上: HIGH、4.0 以上: MEDIUM、それ未満: LOW）。どちらもない場合は UNKNOWN になります。

## 対応状況を管理する

各行の「状態」を切り替えて、対応状況を記録します。

| 状態 | 使いどころ |
| --- | --- |
| 未対応 | 見つかったばかり。ダッシュボードの件数に含まれます |
| 確認済み | 内容を確認した。影響の調査中や、アップデート待ちなど |
| 無視 | 影響がない（その機能を使っていない、など）と判断した |

「確認済み」と「無視」にしたものは、ダッシュボードの未対応の件数に含まれず、通知もされません。状態を変えられるのは、プロジェクトのメンバー以上のロールを持つ人です。

## 解消する

脆弱性を解消するには、パッケージを修正版以上に上げてから、新しい lockfile を [取り込み直します](/guides/packages)。古いバージョンが登録から消えると、その検知結果も消えます。