UIとPRでのバージョンの違い

AutoFixのUIとAutoFixのプルリクエストとの間でバージョンにわずかな違いが生じることがあります。これは想定内の挙動です。最小限のバージョン引き上げによって新たなCVEが生じる場合、AutoFixはプルリクエストを反復的に調整し、その新しいCVEも解決するようバージョンを調整します。その結果、より少ないCVEを含む、より良いプルリクエストになります。

AutoFix UIでは、ライブラリ内の特定のCVEに対処するために必要な最小限のバージョン引き上げを表示します。しかし、そのバージョンが他のCVEを持ち込んでしまう場合があります。例えば、あるライブラリのバージョン1.2.0にCritical（重大）な脆弱性が含まれているとします。その脆弱性はバージョン1.2.1で解決されますが、その修正の中で新たにHigh（高）の脆弱性が混入してしまいます。その後、両方の問題を修正したバージョン1.2.2がリリースされました。Aikido UIは、そのCritical脆弱性の修正バージョンとして1.2.1を表示しますが、実際にAutoFixがアップグレードを実行する際にはHigh深刻度の脆弱性に気づき、代わりにバージョン1.2.2へアップグレードします。これにより、別のAutoFixでの解決が必要になるような新たなHigh深刻度の脆弱性を持ち込まずに済みます。