Сканеры уязвимостей не видят 53% собственных advisories self-hosted приложений

Предрегистрированное исследование показало: 53% security-аdvisories self-hosted приложений (909 записей из 27 репозиториев) не попадают в OSV и невидимы для Dependabot, npm audit и pip-audit, тогда как у библиотек этот показатель 0% (11 записей). Разница +53 процентных пункта значима при p = 0,0057.

• 909 advisories 27 self-hosted приложений: 53,0% невидимы для сканеров (95% CI 49,8–56,3%)
• У библиотек 0% из 11 advisories, разница +53 п.п., p = 0,0057
• 81,5% свежих (14–29 дней) advisories приложений слепы против 36,8% старше 90 дней
• Пример: GHSA-h6cc-rc6q-23j4 у Vaultwarden отдаёт 404 на api.osv.dev