プロジェクトの依存関係にある脆弱性を管理する

GitHub helps you to avoid using third-party software that contains known vulnerabilities.

GitHub Advisory Database を使用すると、GitHub のオープンソースプロジェクトに影響を与える脆弱性を参照または検索できます。

GitHub sends Dependabot alerts when we detect vulnerabilities affecting your repository.

Optimize how you receive notifications about Dependabot alerts.

Dependabot can fix vulnerable dependencies for you by raising pull requests with security updates.

Dependabot security updates または手動のプルリクエストを使用して、脆弱性のある依存関係を簡単に更新できます。

GitHub がプロジェクト内の脆弱性のある依存関係を発見した場合は、それらをリポジトリの [Dependabot alerts] タブで確認できます。 その後、プロジェクトを更新してこの脆弱性を解決することができます。

If the dependency information reported by GitHub is not what you expected, there are a number of points to consider, and various things you can check.

Sometimes Dependabot is unable to raise a pull request to update your dependencies. You can review the error and unblock Dependabot.