В версии 2026.43.0 команда СodeScoring сосредоточилась на сравнении SBOM проекта между сканированиями и версиями, а также на раздельной настройке политик и игноров для модулей CodeScoring.SCA и CodeScoring.OSA. Также обновили работу с проектами и добавили поддержку Dart, Flutter и Lua.
Сравнение SBOM двух сканирований
В модуле CodeScoring.SCA добавлено сравнение SBOM двух сканирований одного проекта, в том числе для разных его версий. В интерфейсе доступна сводка и представление различий между двумя SBOM с подсветкой изменений.
Команда видит, как изменился состав проекта между двумя состояниями, без ручного сопоставления выгруженных файлов. Перейти к сравнению можно со страницы проекта или из истории сканирований.
В самом SBOM исправленная версия зависимости стала указываться в отдельном поле. Её можно извлечь при автоматической обработке отчёта без разбора текста рекомендации.
Политики и игноры разделены по модулям
Политики и игноры стали настраиваться отдельно для модулей CodeScoring.SCA и CodeScoring.OSA. При создании выбирается модуль, а форма показывает соответствующие ему настройки: проекты и группы для SCA, компоненты и репозитории для OSA. Так область действия правила задаётся явно, а исключения учитывают контекст проверки.
При обновлении существующие политики и игноры автоматически распределятся по модулям. Если политика действовала и OSA, и в SCA, то для неё появятся две отдельные версии.
Также сократилась ручная работа при настройке проверок:
- в политиках OSA появились условия «Репозиторий» и «Менеджер репозиториев», в том числе для проверки по списку разрешённых репозиториев;
- в игноре можно выбрать несколько технологий, PURL и названий зависимостей, идентификаторов уязвимостей.
В каталоге появились библиотеки
Команда продолжает развивать раздел «Каталог» и добавили в него подраздел «Библиотеки». В карточке каждой из них собраны общие сведения, риски и список версий, представленных отдельными пакетами. Теперь можно сначала оценить компонент в целом, а затем перейти к используемой в конкретном проекте версии и проверить её уязвимости.
Проекты больше не делятся на CLI и VCS
Способ передачи данных перестал определять тип проекта. Подключение к системе контроля версий стало необязательным: проект можно создать без него и настроить VCS позже.
Johnny стал сохранять результаты и в проекты с настроенной VCS. Сканирование репозитория и передачу результатов через агента теперь можно сочетать в рамках одного проекта.
Johnny получил поддержку новых экосистем
Агент научился разбирать манифесты и локфайлы, а также получать зависимости через следующие пакетные менеджеры:
- Dart и Flutter – через pub;
- Lua – через LuaRocks.
Отдельно добавлен выбор формата сводки сканирования с помощью параметра —summary-format. Сводку можно сохранить в JSON-файл для автоматической обработки итогов проверки.
Расширены сведения об уязвимостях
На странице уязвимости стали отображаться статусы записей из NVD и БДУ ФСТЭК, а также предупреждения и категории из OSV и RustSec. Например, можно увидеть, что запись ещё ожидает анализа или пакет больше не поддерживается.
Помимо этого список источников пополнил Packagist Malware.
Полный список изменений доступен на странице Changelog в документации.
