Gib ein Produkt und die Version ein, die du betreibst. Das Ergebnis sind die bekannten Schwachstellen, die genau diese Version betreffen: CVE- oder GHSA-ID, Schweregrad, eine kurze Zusammenfassung und die Version, die das Problem behebt, wenn eine veröffentlicht ist.
Beispiele: Node.js 20.11.0 nginx 1.24.0 OpenSSL 3.0.2 lodash 4.17.20
Wir zeigen Advisories, deren betroffene Spanne genau diese Version enthält. Distributionen portieren Fixes oft zurück, ohne die Versionsnummer zu ändern — prüfe die Hinweise deines Anbieters, bevor du einen Treffer oder ein leeres Ergebnis als letztes Wort nimmst.
Welche Schwachstellendatenbanken werden geprüft?
Produkte, die wir kennen — nginx, Node.js, OpenSSL und der übrige Stack-Watch-Katalog — werden gegen die CPE-Versionsbereiche der NVD abgeglichen. Alles andere wird als Paket bei OSV.dev abgefragt, das die GitHub Advisory Database enthält, über npm, PyPI, Go, Maven, RubyGems, crates.io, NuGet und Packagist. Der Katalog „Known Exploited Vulnerabilities“ der CISA markiert CVEs, die in freier Wildbahn ausgenutzt werden. Wir erfinden keine Einträge, und ein leeres Ergebnis gilt nur für die Quellen, die geantwortet haben.
Warum wird eine genaue Version verlangt?
Ein Advisory betrifft fast immer eine Spanne, nicht ein ganzes Produkt. Node.js 20.11.0 und 20.11.1 sind nicht dieselbe Antwort. Die Version wird mit der veröffentlichten Spanne verglichen; liegt sie außerhalb, erscheint das Advisory nicht.
Es wurde nichts gefunden. Bin ich damit sicher?
Es bedeutet, dass diese Quellen kein Advisory für genau diese Version gemeldet haben. Eine Distribution kann das Problem behoben haben, ohne die Versionszeichenkette zu ändern, oder morgen erscheint das nächste Advisory. Ergebnisse werden bis zu sechs Stunden zwischengespeichert, damit wir die Upstream-Datenbanken nicht überlasten. Stack Watch ist die laufende Form dieser Prüfung.
Mein Produkt steht nicht in der Liste. Was passiert dann?
Wir fragen OSV trotzdem als Paket danach. Liegt der Name nah an einem Produkt, das wir kennen, schlagen wir das vor, statt zu raten. Ein leeres Paket-Ergebnis heißt, dass keines der abgefragten Ökosysteme ein Advisory für diesen Namen und diese Version gemeldet hat — der Name kann falsch geschrieben sein, oder es ist sauber.