NuGet/Home

[Feature]: Allow excluding vulnerabilities from output of `dotnet list package --vulnerable`

Open

#11 926 ouverte le 29 juin 2022

Voir sur GitHub
 (13 commentaires) (29 réactions) (1 assigné)HTML (292 forks)batch import
Functionality:ListPackagePriority:2Product:dotnet.exeTriage:NeedsDesignSpecType:Featurehelp wanted

Métriques du dépôt

Stars
 (1 459 stars)
Métriques de merge PR
 (Merge moyen 464j 23h) (1 PR mergée en 30 j)

Description

NuGet Product(s) Involved

dotnet.exe

The Elevator Pitch

Allow excluding vulnerabilities from the output of dotnet list package --vulnerable [--include-transitive] using another command line flag or config file.

Additional Context and Details

We scan for NuGet packages with vulnerabilities regularly on our build server by running dotnet list package --vulnerable --include-transitive. Sometimes it's not practical to upgrade a package version to properly fix the vulnerability, but we don't want to be notified of it anymore (because we have either determined that it doesn't apply to us, made a code change to mitigate it or accepted the risk). It would be great to be able to exclude specific vulnerabilities, e.g. by the advisory URL or perhaps just the ID part of it (CVE or GHSA ID), e.g.

dotnet list package --vulnerable --include-transitive --exclude-vulnerabilities GHSA-qpvx-gpqm-g98j,GHSA-mv2r-q4g5-j8q5

Guide contributeur

Direction de recherche
Étudiez l'implémentation actuelle du drapeau vulnerable dans la CLI dotnet et identifiez où les vulnérabilités sont listées. Implémentez ensuite un nouveau drapeau exclude vulnerabilities qui filtre les vulnérabilités par URL ou ID d'avis.
Stack technique
csharp
Domaine
cli
Type d'issue
Fonctionnalité
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
3
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
Une demi journée
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
GitC#
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
65