Dependa — Sumikko Lab(最終更新: 2026-11-03)
定義データは、Dependa が依存関係を調べるときに使う、脆弱性情報です。部品(パッケージ)ごとに、どの版に既知の脆弱性があり、どの版で修正されたかを記録しています。
Dependa には、あらかじめ定義データが同梱されています。アプリは定義データを取得するための通信をしません。同梱のデータとは別の定義データを使いたい場合は、このページからファイル(zip)をダウンロードし、アプリで取り込みます。
下の「現在公開中の定義データ」に表示される最新のファイル(dependa-definitions-<版>.zip)をダウンロードします。ダウンロード後に、Windows の PowerShell で Get-FileHash <ファイル> -Algorithm SHA256 を実行し、表の SHA-256 と照合すると、ダウンロード中の破損を確認できます。大文字と小文字は区別しません(Get-FileHash は大文字で表示します)。
取り込みは、アプリの 2.1.0 以降で使えます。アプリの 設定 画面の「定義データ」にある「定義データを取り込む」ボタンを押し、ダウンロードした zip を選択します。アプリは取り込みのとき、zip の署名を確認し、署名の無いファイルや検証できないファイルは取り込みません。
脆弱性情報の件数が、いま使われている定義データより大きく減っている場合は、確認のメッセージが出ます。「はい」を選んだときだけ取り込みます。取り込み後は、次の調査から新しい定義データが使われます。画面とレポートの「使用中の定義」で、版と生成日を確認できます。
設定画面の「定義データ」にある「同梱に戻す」ボタンを押します。取り込んだ定義データのうち、取り込み後に変更されていないファイルが外れ、アプリに同梱の定義データが使われます。取り込み後に変更したファイルは外れずに残ります。その場合は確認のメッセージが出て、「はい」を選ぶと、そのファイルも退避して同梱に戻せます。
ご注意: アプリを更新して同梱の定義データが新しくなっても、取り込み済みの定義データは自動では切り替わりません。取り込み済みのほうが古い場合でも、「同梱に戻す」を実行するまで、取り込み済みの定義データが使われます。
このページは、公開中の版の情報を表示するために、あなたのブラウザーから GitHub(raw.githubusercontent.com)の 2 つのファイル(latest.json と definitions-history.json)を読み込みます。
定義データの脆弱性情報は、次の公開データベースに由来し、OSV(Open Source Vulnerabilities。https://osv.dev)を経由して取得したものです。
ライセンス: GitHub Advisory Database と PyPI Advisory Database は、どちらも CC BY 4.0 です: https://creativecommons.org/licenses/by/4.0/ それ以外の元データのライセンスは、OSV の一覧(上のリンク)に記載されています。
加工の表示: Dependa が、件数と項目の一部だけを残し、別名(alias)を共有するレコードを統合し、重大度などの値を計算し、タイトルから不可視文字を除いて作成したもので、原典のままではありません。GitHub、PyPI Advisory Database の管理者、OSV、元データの提供者による推奨を示すものではありません。
免責: データは現状のまま提供され、保証はありません。
各ファイルの出典・ライセンス・帰属は、ダウンロードするファイルの内容一覧に書かれ、取り込み後はアプリの「使用中の定義」に表示されます。帰属の表示(原文):
アプリは取り込みのとき、アプリに埋め込んだ公開鍵で、zip の署名を検証します。署名の無いファイルや、検証できないファイルは取り込みません。あわせて、ファイルの内容が、同じ zip に入っている内容一覧と一致することも確認します。このページに掲載する SHA-256 は、ダウンロード中の破損の確認に使えます。
取り込み済みの定義データが読み込み時の検証に失敗したときは、その定義データを使わず、同梱の定義データを使います。内容一覧のないファイルを手動で配置したときは検証されず、通知を表示したうえで使います。
Dependa — Sumikko Lab (Last updated: 2026-11-03)
Definition data is the vulnerability information that Dependa uses when it checks dependencies. For each package, it records which versions have known vulnerabilities and which version fixes them.
Dependa ships with definition data. The app does not use the network to fetch definition data. To use definition data other than the bundled one, download a file (zip) from this page and import it in the app.
Download the latest file (dependa-definitions-<version>.zip) shown in "Definition data currently published" below. After downloading, run Get-FileHash <file> -Algorithm SHA256 in Windows PowerShell and compare the result with the SHA-256 in the table to check for corruption during download. Upper and lower case are treated as the same (Get-FileHash prints upper case).
Import is available in version 2.1.0 or later of the app. In the app, open Settings, go to "Definition data", select "Import definition data", and select the zip you downloaded. At import, the app checks the signature of the zip, and does not import a file that has no signature or whose signature cannot be verified.
If the number of vulnerability records is much lower than in the definition data in use, a confirmation message appears. The data is imported only if you choose "Yes". After the import, the new definition data is used from the next scan. You can check the version and generation date in "Definitions in use" on the screen and in reports.
Select "Revert to bundled" under "Definition data" in Settings. Files from the imported data that have not been changed since the import are removed, and the definition data bundled with the app is used. Files you changed after the import are not removed. In that case a confirmation message appears, and if you choose "Yes", those files are also set aside and reverted to the bundled ones.
Note: When you update the app and the bundled definition data becomes newer, imported definition data is not switched automatically. Even if the imported data is older, it stays in use until you run "Revert to bundled".
To show the published version, this page loads two files (latest.json and definitions-history.json) from GitHub (raw.githubusercontent.com) in your browser.
The vulnerability information in the definition data derives from the following public databases, obtained via OSV (Open Source Vulnerabilities, https://osv.dev).
License: the GitHub Advisory Database and the PyPI Advisory Database are both licensed under CC BY 4.0: https://creativecommons.org/licenses/by/4.0/ The licenses of the other source data are listed by OSV (link above).
Modification notice: Dependa kept only some records and fields, merged records that share aliases, calculated severity and other values, and removed invisible characters from titles. These are not the original data. No endorsement by GitHub, the PyPI Advisory Database maintainers, OSV, or the original data providers is implied.
Disclaimer: the data is provided as is, without warranties.
The source, license, and attribution of each file are written in the manifest of the file you download, and are shown in "Definitions in use" in the app after the import. Attribution notices:
At import, the app verifies the signature of the zip with the public key built into the app. It does not import a file that has no signature or whose signature cannot be verified. It also checks that the contents of the files match the manifest in the same zip. The SHA-256 values on this page can be used to check for corruption during download.
If imported definition data fails verification when it is loaded, the app does not use it and uses the bundled definition data. Files placed by hand without a manifest are not verified. The app uses them and shows a notice.