Bases de avisos abiertas, el esquema OSV

Un registro OSV marca el rango afectado con eventos ordenados. introduced es la primera versión afectada (el valor 0 significa desde el principio). fixed es la versión que corrige el problema y es exclusiva: la versión fixed ya no está afectada. last_affected se usa cuando todavía no hay corrección: nombra la última versión afectada, y esa sí lo está.

La tabla avisos_osv los muestra como columnas introducida, corregida y ultima_afectada; «—» significa que el campo no está en el registro. La tabla instalado trae la versión de cada paquete.

Que un aviso exista no significa que haya parche. Cuando el registro solo trae ultima_afectada, la versión instalada puede estar dentro del rango sin que haya adónde actualizar. Ahí la respuesta no es un parche: es una mitigación, una declaración del proveedor o un reemplazo.

Cruza instalado con avisos_osv y busca un paquete cuya versión instalada esté afectada y cuyo registro no traiga versión corregida.

Un nombre de paquete no es único: el mismo nombre puede existir en dos ecosistemas y ser software distinto. Un aviso aplica solo si coinciden ecosistema, paquete y versión. Una herramienta que cruza solo por el nombre produce falsos positivos.

Revisa la columna ecosistema de avisos_osv frente a la de instalado.

Cada base pone su propio identificador. Para decir que dos registros hablan de lo mismo, el esquema usa el campo aliases: lista los identificadores de la misma vulnerabilidad en otras bases. Si se cuentan por registro y no por alias, el total sale inflado.

Considera solo los registros que sí aplican a la versión instalada. Une los que comparten alias y cuenta vulnerabilidades distintas.