Kiểm tra lỗ hổng thư viện online

Tìm lỗ hổng đã biết (OSV.dev), bản sửa lỗi, bản mới nhất và giấy phép của các gói trong lockfile hoặc manifest: npm, pip, Go, Composer…

Kết quả

Bấm “Chạy” để xem kết quả.

Tải lên hoặc dán manifest / lockfile: package.json, package-lock.json (v1–v3), yarn.lock (bản classic và Berry), pnpm-lock.yaml, requirements.txt, poetry.lock, Pipfile.lock, composer.lock / composer.json, go.sum / go.mod, Gemfile.lock hoặc Cargo.lock. Định dạng được nhận diện từ filename hoặc nội dung. Từng gói và phiên bản được đối chiếu với OSV.dev (cơ sở dữ liệu lỗ hổng mở của Google, tổng hợp GitHub Advisory Database, PyPA, Go, RustSec…) theo lô tối đa 1.000 gói.

Mỗi gói có lỗ hổng liệt kê các cảnh báo với mã GHSA / CVE, tóm tắt, mức độ nghiêm trọng (tính từ vector CVSS v3, hoặc mức do cảnh báo tự đánh giá), các phiên bản đã sửa và fixed_in (bản sửa đầu tiên cao hơn bản bạn dùng); upgrade_to là phiên bản thấp nhất sửa được tất cả. Với latest=true, API lấy bản phát hành mới nhất từ npm, PyPI hoặc Packagist cho các gói trực tiếp (hoặc mọi gói nếu file nhỏ). Giấy phép lấy từ lockfile hoặc registry được chuẩn hoá theo SPDX (spdx-correct) và gắn cờ copyleft weak, strong hoặc network.

Với manifest chỉ có khoảng phiên bản (^1.2.3, >=3.0), API kiểm tra phiên bản thấp nhất được phép và đánh dấu version_from_range: hãy gửi lockfile để có kết quả chính xác. Chi tiết cảnh báo được lưu đệm một ngày và lấy tối đa 150 cảnh báo mỗi lần gọi (max_details, tối đa 300). Dữ liệu lỗ hổng: OSV.dev, được ghi nguồn trong mỗi kết quả.

Dùng trong code của bạn

curl -X POST "https://apibox.io.vn/v1/dep-audit" \
  -H "Authorization: Bearer YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"content":"{\"dependencies\":{\"lodash\":\"4.17.20\"}}","filename":"package.json","latest":true}'

const res = await fetch('https://apibox.io.vn/v1/dep-audit', {
  method: 'POST',
  headers: {
    Authorization: 'Bearer YOUR_API_KEY',
    'Content-Type': 'application/json',
  },
  body: JSON.stringify({
    "content": "{\"dependencies\":{\"lodash\":\"4.17.20\"}}",
    "filename": "package.json",
    "latest": true
  }),
});
const data = await res.json();
console.log(data);

import requests

res = requests.post(
    "https://apibox.io.vn/v1/dep-audit",
    headers={"Authorization": "Bearer YOUR_API_KEY"},
    json={"content": "{\"dependencies\":{\"lodash\":\"4.17.20\"}}", "filename": "package.json", "latest": True},
    timeout=30,
)
print(res.json())

<?php
$ch = curl_init('https://apibox.io.vn/v1/dep-audit');
curl_setopt_array($ch, [
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_CUSTOMREQUEST => 'POST',
    CURLOPT_HTTPHEADER => ['Authorization: Bearer YOUR_API_KEY', 'Content-Type: application/json'],
    CURLOPT_POSTFIELDS => '{"content":"{\\"dependencies\\":{\\"lodash\\":\\"4.17.20\\"}}","filename":"package.json","latest":true}',
]);
$response = curl_exec($ch);
print_r(json_decode($response, true));

Tài liệu API → Nhận API key miễn phí

Hỏi đáp

Dữ liệu lỗ hổng lấy từ đâu?

Từ OSV.dev, cơ sở dữ liệu mở do Google vận hành, gộp GitHub Advisory Database, PyPA, Go vulndb, RustSec, RubySec và các nguồn khác. Mỗi kết quả đều có dòng ghi nguồn.

version_from_range nghĩa là gì?

package.json, composer.json và requirements.txt dùng >= chỉ cho biết khoảng phiên bản. API kiểm tra bản thấp nhất mà khoảng đó cho phép; bản bạn cài thực tế có thể mới hơn. Hãy gửi lockfile để có phiên bản chính xác.

Có hỗ trợ pom.xml hay build.gradle không?

Chưa. Hiện hỗ trợ file của npm, yarn, pnpm, pip, Poetry, Pipenv, Composer, Go modules, Bundler và Cargo.