Skip to main content

GitHub のプリセットの Dependabot ルールで使用される CWEs

GitHub では、業界標準の基準を使用して、Dependabot alerts をフィルタリングすることができます。

Dismiss low impact issues for development-scoped dependencies

Dismiss low impact issues for development-scoped dependencies ルール は、開発で使用される npm 依存関係で見つかった特定のタイプの脆弱性を自動的に無視する GitHub プリセットです。

          `ecosystem:npm` および `scope:development` アラートのメタデータと共に、GitHub でキュレーションされた次の共通脆弱性タイプ一覧 (CWE) を使用して、`Dismiss low impact issues for development-scoped dependencies` ルールの影響の少ないアラートを除外します。 この一覧と、組み込みルールの対象となる脆弱性パターンを定期的に改善しています。

リソース管理の問題

  • CWE-400 未制御のリソース消費
  • CWE-770 制限またはスロットリングなしのリソースの割り当て
  • CWE-409 高圧縮データの不適切な処理 (データ増幅)
  • CWE-908 初期化されていないリソースの使用
  • CWE-1333 非効率的な正規表現の複雑さ
  • CWE-835 到達不能な終了条件を持つループ ('無限ループ')
  • CWE-674 不適切な再帰制御
  • CWE-1119 無条件分岐の過剰使用

プログラミングおよびロジックのエラー

  • CWE-185 不正な正規表現
  • CWE-754 例外的な状態における不適切なチェック
  • CWE-755 例外的な状態における不適切な処理
  • CWE-248 キャッチされない例外
  • CWE-252 未チェックの戻り値
  • CWE-391 未チェックのエラー状態
  • CWE-696 不正な動作順
  • CWE-1254 不正な比較ロジックの粒度
  • CWE-665 不適切な初期化
  • CWE-703 例外的な状況に対する不適切なチェックまたは処理
  • CWE-178 大文字と小文字の区別の不適切な処理

情報漏えいの問題

  • CWE-544 標準化されたエラー処理メカニズムの欠落
  • CWE-377 安全でない一時ファイル
  • CWE-451 ユーザー インターフェース (UI) における重要情報の誤った表示
  • CWE-668 誤った領域へのリソースの漏えい