Declaraciones VEX

Un escáner informa de cada versión de paquete vulnerable que ve. A veces el código vulnerable ni siquiera está en la imagen, o nada puede alcanzarlo. Una declaración VEX lo registra con la evidencia: el archivo, la opción de compilación o la ruta de llamada que descarta el hallazgo.

Cada declaración se comprueba antes de que Trivy la acepte, así que un VEX nunca puede ocultar un hallazgo sin prueba. Lo que se puede corregir se corrige. Cada documento también se sirve como OpenVEX JSON sin procesar en su propio @id.