[RFC] Advisory search api: access to unprocessed data

Aberta
  • Algo errado?
#2,293 1 comentário 1 reação 0 responsáveis Ver no GitHub

Mantenedores costumam responder em até 1 dia

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade
5/5
Tempo estimado
Mais de uma semana
Facilidade para iniciantes
30/100
Tipo de issue
Funcionalidade
Clareza
Precisa de esclarecimento
Status de atividade
Pouca atividade
Stack de tecnologia
python
Domínio
backend-api-design, search, security

Direção de pesquisa

Este RFC não nomeia arquivos do repositório, testes nem pontos de entrada da implementação. Comece comparando o endpoint atual de busca de pacotes com o mock app vinculado e, em seguida, defina o escopo e o contrato de dados para buscar o texto original do advisory; considera-se concluído quando os limites do design e da implementação estiverem acordados.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

VulnerableCode currently is one of the best data sources out there for vulnerabilities, although since our upstream data has a lot of inconsistencies/versioning issues/advisory quality issues etc, it makes it looks as though vulnerablecode is not exhaustive.

I'm proposing a VulnerableCode search engine that could search based on advisory's original text instead of purl or vulnerability/advisory. The output would contain all the unstructured advisories and the structured relationship among packages and vulnerabilities. In a sense, this will be Google for VulnerableCode.

For example, the package grocy has no matches in current vulnerablecode deployment, possibly because there was some problem parsing purl from the advisory. Although, we have multiple advisories fetched on grocy (12 in fact).
This is in no manner authoritative data source as VulnerableCode's default search since mere presence of a package name in the advisory does not prove that the package is vulnerable, but it does signal interest in the advisory if there's an interest in the package mentioned.

I've created a mock app that demonstrates this. For the above example, this is how it looks: https://advisory-search.hritik.sh/?q=grocy

Linguagem predominante
Python
Estrelas
716
Forks
347
Merge médio
13h 47min
PRs com merge (30d)
8

Preparar o ambiente

  • Inclui um Dockerfile ou arquivo Docker Compose
  • Sem modelo de pull request
  • Sem guia de contribuição

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de aboutcode-org/vulnerablecode

Todas as issues de aboutcode-org/vulnerablecode

Issues semelhantes

Mais issues de Python

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.