Dependa — Sumikko Lab(最終更新: 2026-10-28)
定義データは、Dependa が依存関係を調べるときに使う、脆弱性情報です。部品(パッケージ)ごとに、どの版に既知の脆弱性があり、どの版で修正されたかを記録しています。
Dependa には、あらかじめ定義データが同梱されています。アプリは定義データを取得するための通信をしません。同梱のデータとは別の定義データを使いたい場合は、このページからファイル(zip)をダウンロードし、アプリで取り込みます。
下の「現在公開中の定義データ」の表から、取り込むファイル(dependa-definitions-<版>.zip)をダウンロードします。
アプリの 設定 画面の「定義データ」にある「定義データを取り込む」ボタンを押し、ダウンロードした zip を選択します。
脆弱性情報の件数が、いま使われている定義データより大きく減っている場合は、確認のメッセージが出ます。「はい」を選んだときだけ取り込みます。取り込み後は、次の調査から新しい定義データが使われます。画面とレポートの「使用中の定義」で、版と生成日を確認できます。
設定画面の「定義データ」にある「同梱に戻す」ボタンを押します。取り込んだ定義データのうち、取り込み後に変更されていないファイルが外れ、アプリに同梱の定義データが使われます。取り込み後に変更したファイルは外れずに残ります。その場合は確認のメッセージが出て、「はい」を選ぶと、そのファイルも退避して同梱に戻せます。
ご注意: アプリを更新して同梱の定義データが新しくなっても、取り込み済みの定義データは自動では切り替わりません。取り込み済みのほうが古い場合でも、「同梱に戻す」を実行するまで、取り込み済みの定義データが使われます。
現在、公開中の定義データはありません。公開できる状態になったら、下の表に掲載します。
| 版 | 生成日 | SHA-256 | 出典 | 件数 |
|---|---|---|---|---|
| 現在、公開中の定義データはありません。 | ||||
| 公開日 | 版 | 変更の内容 |
|---|---|---|
| 現在、公開中の定義データはありません。履歴はありません。 | ||
定義データの脆弱性情報は、OSV(Open Source Vulnerabilities。https://osv.dev)を経由して取得した、次の 2 つの公開データベースに由来します。
ライセンスは、どちらも CC BY 4.0 です: https://creativecommons.org/licenses/by/4.0/
加工の表示: Dependa が OSV の形式から、件数と項目を絞り、重大度などを計算して作成したもので、原典のままではありません。
免責: データは現状のまま提供され、保証はありません。
各ファイルの出典・ライセンス・帰属は、ダウンロードするファイルの内容一覧に書かれ、取り込み後はアプリの「使用中の定義」に表示されます。帰属の表示(原文):
アプリが取り込み時に確認するのは、ファイルの内容が、同じ zip に入っている内容一覧と一致することまでです。発行元は確認しません(署名はありません)。このページに掲載する SHA-256 は、同じサイトから取得した値のため、発行元の認証にはなりません。ダウンロード中の破損の確認と、サイトとは別の経路で得た値との照合にだけ使えます。
Dependa — Sumikko Lab (Last updated: 2026-10-28)
Definition data is the vulnerability information that Dependa uses when it checks dependencies. For each package, it records which versions have known vulnerabilities and which version fixes them.
Dependa ships with definition data. The app does not use the network to fetch definition data. To use definition data other than the bundled one, download a file (zip) from this page and import it in the app.
Download the file (dependa-definitions-<version>.zip) from the "Definition data currently published" table below.
In the app, open Settings, go to "Definition data", select "Import definition data", and select the zip you downloaded.
If the number of vulnerability records is much lower than in the definition data in use, a confirmation message appears. The data is imported only if you choose "Yes". After the import, the new definition data is used from the next scan. You can check the version and generation date in "Definitions in use" on the screen and in reports.
Select "Revert to bundled" under "Definition data" in Settings. Files from the imported data that have not been changed since the import are removed, and the definition data bundled with the app is used. Files you changed after the import are not removed. In that case a confirmation message appears, and if you choose "Yes", those files are also set aside and reverted to the bundled ones.
Note: When you update the app and the bundled definition data becomes newer, imported definition data is not switched automatically. Even if the imported data is older, it stays in use until you run "Revert to bundled".
No definition data is currently published. It will be listed in the table below once it is ready.
| Version | Generated | SHA-256 | Source | Count |
|---|---|---|---|---|
| No definition data is currently published. | ||||
| Published | Version | Changes |
|---|---|---|
| No definition data is currently published. There is no history. | ||
The vulnerability information in the definition data derives from the following two public databases, obtained via OSV (Open Source Vulnerabilities, https://osv.dev).
The license of both is CC BY 4.0: https://creativecommons.org/licenses/by/4.0/
Modification notice: Dependa created these records from the OSV format by narrowing the number of records and fields and calculating severity and other values, so they are not the original data.
Disclaimer: the data is provided as is, without warranties of any kind.
The source, license, and attribution of each file are written in the manifest of the file you download, and are shown in "Definitions in use" in the app after the import. Attribution notices:
At import, the app checks only that the contents of the files match the manifest in the same zip. It does not confirm the publisher (there is no signature). The SHA-256 values on this page come from the same site, so they do not authenticate the publisher. They can only be used to check for corruption during download, and to compare with a value obtained by a different route.