Verifica la copertura dei report JSON

{
  "@graph": [
    {
      "type": "software_Package",
      "name": "abseil-cpp",
      "software_packageVersion": "20260107.1"
    }
  ]
}

{
  "packages": [
    {
      "name": "abseil-cpp",
      "version": "20260107.1"
    }
  ]
}

Sono accettati anche: SPDX 2 packages con versionInfo, CycloneDX components con version (anche con componenti annidati), array Yocto package oppure un array di oggetti pacchetto al livello principale.

Il riferimento SPDX 3 comprende solo i nodi di tipo pacchetto con software_primaryPurpose: install; sorgenti, ricette, file e relazioni sono esclusi. Questo campo non è richiesto nel JSON caricato. I nomi dei pacchetti e le versioni esatte distinguono maiuscole e minuscole. Questi esempi mostrano i campi necessari al confronto; sono accettati documenti SBOM completi con campi aggiuntivi.

{
  "vulnerabilities": [
    { "id": "CVE-2025-0838" },
    { "id": "CVE-2009-4411" }
  ]
}

{
  "package": [
    {
      "name": "abseil-cpp",
      "issue": [
        { "id": "CVE-2025-0838" }
      ]
    }
  ]
}

Un array al livello principale come ["CVE-2025-0838", "CVE-2009-4411"] è ugualmente valido. Gli identificativi seguono il formato CVE-YYYY-NNNN, con almeno quattro cifre nella parte finale, e vengono confrontati senza distinguere maiuscole e minuscole.

Gli identificativi vengono rilevati in tutte le stringhe e le chiavi, comprese descrizioni e collegamenti. I duplicati vengono contati una sola volta. Nomi dei pacchetti, versioni, punteggi e stati sono facoltativi; i risultati mostrano i metadati di riferimento.