scan_vendor_bundles
Scans vendored frontend bundles (static/*.min.js) for known component vulnerabilities, covering projects without package.json or node_modules.
Instructions
벤더링된 프런트엔드 라이브러리(static/*.min.js)의 컴포넌트 취약점을 검사합니다.
scan_path 결과에 vendor_bundles 가 비어 있지 않으면 반드시 이 도구로
이어서 검사하세요. 이 파일들은 소스 룰 검사에서는 제외되지만(미니파이드라
오탐만 나옴) 그 자체가 프로젝트가 실행하는 남의 코드이고 알려진 취약점이 붙습니다.
package.json 도 node_modules 도 없는 프로젝트에서는 이것이 유일한
컴포넌트 발견 경로입니다(실측: xlsx 0.18.5 → CVE-2023-30533 등).
버전을 확정하지 못한 번들은 조회하지 않고 '판정 불가'로 남깁니다 — 추측한 버전으로 취약점을 단정하지 않기 위해서입니다. 판정 불가는 '안전'이 아닙니다.
결과를 scan_path 결과 JSON 의 dependency_audit 에 넣어 render_report 를
호출하세요. 이미 scan_dependencies 결과가 있다면
{"audits": [<의존성 결과>, <이 결과>]} 형태로 합쳐 넣습니다.
Input Schema
| Name | Required | Description | Default |
|---|---|---|---|
| caller | No | 호출 주체 자율 신고 (예: 'harness:auto'). 감사 구분용 | |
| env_grade | No | 실행환경 등급 — 신규 버전 쿨다운 기준일만 정합니다(취약점·악성 판정에는 영향 없음): E0(개인PC 일회성, 3일) | E1(개인PC 반복도구, 7일, 기본) | E2(내부서버 공용, 14일). **사용자가 배포 환경을 명시하지 않으면 비워 두세요** — 도구가 자동 판별하지 않으며, 넘긴 값이 보고서에 '검사 실행 시 지정'으로 그대로 기록됩니다. | |
| vendor_bundles | Yes | scan_path 결과 JSON 의 `vendor_bundles` 값을 **그대로** 전달 (직접 조립하지 말 것). 각 항목: {path, name, version, evidence, ecosystem} |
Output Schema
| Name | Required | Description | Default |
|---|---|---|---|
No arguments | |||