XML output writes a vulnerability's `created` date as `published` and `updated`

Abierto Apto para principiantes
  • ¿Algo no está bien?
#1,537 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 7 días

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
2/5
Tiempo estimado
1-3 horas
Aptitud para principiantes
88/100
Tipo de issue
Error
Claridad
Bien especificado
Estado de actividad
Activo
Stack tecnológico
node.js, typescript, xml
Área
backend, data

Línea de trabajo

Empieza en src/serialize/xml/normalize.ts, en VulnerabilityNormalizer, y revisa la construcción del elemento de fecha. Compara la salida XML con las fechas del modelo y la salida JSON existente. Actualiza el normalizador XML y añade o ajusta la cobertura para fechas distintas y ausentes; el XML debería conservar cada fecha de forma independiente, y las snapshots relevantes deberían coincidir.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

Describe the bug

The XML normalizer writes a vulnerability's created date into all three date elements. published and updated are never read, so in XML they are wrong, missing, or made up. The JSON output is correct.

To reproduce

const { Models, Serialize, Spec } = require('@cyclonedx/cyclonedx-library')

const bom = new Models.Bom()
bom.vulnerabilities.add(new Models.Vulnerability.Vulnerability({
  bomRef: 'v1',
  created: new Date('2021-01-01T00:00:00Z'),
  published: new Date('2022-02-02T00:00:00Z'),
  updated: new Date('2023-03-03T00:00:00Z')
}))

const serializer = new Serialize.XmlSerializer(
  new Serialize.XML.Normalize.Factory(Spec.Spec1dot6))
console.log(serializer.serialize(bom, { space: 2 }))

Output:

<created>2021-01-01T00:00:00.000Z</created>
<published>2021-01-01T00:00:00.000Z</published>
<updated>2021-01-01T00:00:00.000Z</updated>

Two more cases:

Dates set on the model XML output
only published and updated no date elements at all
only created created, plus published and updated with the same value

Expected behaviour

Each element carries its own value, as in the JSON output:

<created>2021-01-01T00:00:00.000Z</created>
<published>2022-02-02T00:00:00.000Z</published>
<updated>2023-03-03T00:00:00.000Z</updated>

Cause

src/serialize/xml/normalize.ts, in VulnerabilityNormalizer:

makeOptionalDateTimeElement(data.created, 'created'),
makeOptionalDateTimeElement(data.created, 'published'),
makeOptionalDateTimeElement(data.created, 'updated'),

The stored snapshots show it too: tests/_data/models.js sets published to ...00:00:41 and updated to ...00:00:42, and tests/_data/serializeResults/xml_complex_spec1.6.xml.bin has ...00:00:40 three times.

Environment

  • Library version: 10.5.0 (main at 7456cad)
  • Node.js 24.18.0, Windows 11

I can open a PR with the fix and the regenerated snapshots.

AI disclosure: this was found with the help of Claude Code. The snippet was run against the built library.

Lenguaje dominante
TypeScript
Estrellas
25
Forks
16
Merge medio
5 d 17 h
PR fusionados (30 d)
9

Preparar el entorno

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de CycloneDX/cyclonedx-javascript-library

Todos los issues de CycloneDX/cyclonedx-javascript-library

Issues similares

Más issues de TypeScript

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.