CodeScoring 2026.43.0: сравнение SBOM, новые политики и поддержка Dart, Flutter и Lua

В версии CodeScoring 2026.43.0 разработчики обновили работу с SBOM, политиками и игнорами, проектами и каталогом компонентов. В релизе также появилась поддержка экосистем Dart, Flutter и Lua, а результаты анализа уязвимостей стали информативнее.

Сравнение SBOM между сканированиями

В модуле CodeScoring.SCA теперь можно сопоставлять SBOM двух сканирований одного проекта, включая разные версии проекта. В интерфейсе отображаются сводка и список различий с подсветкой изменений. Это позволяет быстро увидеть, как изменился состав зависимостей, без ручного сравнения выгруженных файлов.

Запустить сравнение можно со страницы проекта или из истории сканирований. Кроме того, исправленная версия зависимости в SBOM теперь указывается в отдельном поле. Благодаря этому значение можно извлекать при автоматической обработке отчётов без разбора текста рекомендации.

Раздельные политики для SCA и OSA

Настройки политик и игноров для CodeScoring.SCA и CodeScoring.OSA теперь разделены. При создании правила пользователь выбирает модуль, после чего форма показывает соответствующие области применения: проекты и группы для SCA либо компоненты и репозитории для OSA.

При обновлении существующие правила автоматически распределяются по модулям. Если политика ранее применялась одновременно к OSA и SCA, система создаёт для неё две отдельные версии. В политиках OSA появились условия «Репозиторий» и «Менеджер репозиториев», в том числе для проверок по списку разрешённых репозиториев. В игнорах можно указывать несколько технологий, PURL, названий зависимостей и идентификаторов уязвимостей.

Каталог библиотек и обновление проектов

В разделе «Каталог» появился подраздел «Библиотеки». В карточке библиотеки собраны общие сведения о компоненте, связанные риски и список доступных версий, представленных отдельными пакетами. Такой подход позволяет сначала оценить библиотеку в целом, а затем перейти к версии, используемой в конкретном проекте, и проверить её уязвимости.

Проекты больше не разделяются на CLI и VCS по способу передачи данных. Подключение к системе контроля версий при создании проекта стало необязательным — его можно настроить позднее. Агент Johnny теперь сохраняет результаты в проекты с настроенной VCS, а сканирование репозитория и передачу результатов через агента можно совмещать в рамках одного проекта.

Новые экосистемы и форматы сводки

Johnny научился обрабатывать манифесты и лок-файлы, а также получать зависимости через новые пакетные менеджеры: pub для Dart и Flutter и LuaRocks для Lua. Для сводки сканирования добавлен параметр --summary-format. С его помощью результат можно сохранить в JSON-файл и использовать в автоматической обработке.

На страницах уязвимостей теперь показываются статусы записей из NVD и БДУ ФСТЭК, а также предупреждения и категории из OSV и RustSec. Пользователь может увидеть, например, что запись ещё ожидает анализа или пакет больше не поддерживается. В список источников также добавлен фид Packagist Malware.

Полный перечень изменений версии 2026.43.0 опубликован в разделе Changelog документации CodeScoring.