GitHub Advisory Database è il catalogo centrale di GitHub degli avvisi di sicurezza, comprese le vulnerabilità note e le segnalazioni di pacchetti dannosi. Alimenta strumenti come Dependabot, che usano il database per avvisare gli sviluppatori quando una dipendenza corrisponde a un rischio noto.
Il suo valore per la sicurezza sta nel trasformare l'intelligence sulle minacce in avvisi azionabili all'interno del normale flusso di lavoro di sviluppo. Per le vulnerabilità convenzionali, un avviso può indicare una versione corretta. Per un pacchetto dannoso, la risposta più sicura è spesso la rimozione o la sostituzione, perché potrebbe non esistere un percorso di aggiornamento affidabile. Questo rende il database particolarmente utile per la difesa della supply chain attraverso ecosistemi di pacchetti come npm, PyPI, Maven e altri.
Negli attacchi, gli avversari sfruttano typosquatting, dependency confusion o account di maintainer compromessi per pubblicare pacchetti dannosi. Nella difesa, l'ingestione degli avvisi aiuta i team di sicurezza a individuare presto quei pacchetti, ma devono comunque verificare namespace, registry e collisioni con pacchetti interni per evitare falsi positivi.