La API REST de Dependabot ya incluye la versión de la dependencia vulnerable registrada en el repositorio mediante el nuevo campo version_requirement. Hasta ahora la respuesta incluía el rango vulnerable del advisory, pero no siempre la versión concreta utilizada.
Menos consultas auxiliares
Los equipos que sincronizan alertas con SIEM, herramientas de ticketing o paneles internos ya no necesitan parsear lockfiles ni lanzar una consulta GraphQL adicional para recuperar ese dato.
El valor depende de cómo se detectó
En lockfiles se devuelve la versión resuelta; en manifiestos sin lockfile, la versión o restricción declarada; y en Dependency Submission API, la versión comunicada por el proceso de build.
Fuente primaria: GitHub.
Qué deberían revisar los equipos
El cambio encaja con una semana de endurecimiento del ciclo de desarrollo: secret scanning, AI Scan, seguridad de agentes, identidad de agentes, controles de infraestructura y serving distribuido de modelos.
Fotografía: cottonbro studio / Pexels.
