CVE-Ignore Converter: Traduza arquivos de exclusão de vulnerabilidades em um clique.

É uma ferramenta gratuita, executada no navegador, que traduz uma política de supressão de vulnerabilidades entre os quatro formatos de scanner mais comuns: Trivy (.trivyignore), Grype (.grype.yaml), Snyk (.snyk) e osv-scanner (osv-scanner.toml). Cole um arquivo de exclusão, escolha um formato de destino e obtenha o arquivo equivalente — assim, uma supressão que você decidiu uma vez não precisa ser redigitada para cada scanner.

Não. O conversor roda 100% no lado do cliente. Seu arquivo de exclusão é processado e gerado novamente dentro da aba do seu navegador — nada é enviado para um servidor, e não há conta nem cadastro. Você pode colar com segurança políticas internas de CVE e os comentários que as justificam.

As quatro direções são suportadas: .trivyignore (Trivy), .grype.yaml (Grype), .snyk (política do Snyk) e osv-scanner.toml (osv-scanner). Qualquer formato de origem pode ser traduzido para qualquer formato de destino, então ele também funciona como unificador quando você adota um novo scanner.

Cole o conteúdo do .trivyignore e selecione .snyk como formato de destino. O conversor mapeia cada ID de vulnerabilidade para um bloco de exclusão YAML do Snyk indexado pelo ID do problema, usando um escopo de caminho com curinga, e leva qualquer comentário de linha para o campo de motivo. A conversão roda inteiramente no seu navegador, sem nada enviado.

Sim. Os matchers de exclusão estruturados do Grype — ID de vulnerabilidade, nome de pacote opcional e escopo de versão — são reduzidos a uma lista simples de IDs no formato .trivyignore. Como o .trivyignore não tem escopo de pacote nem de versão legível por máquina, esses campos não podem ser representados no destino; o conversor os sinaliza como avisos em vez de descartá-los silenciosamente.

Mantenha um único arquivo de exclusão de origem e use o conversor para traduzi-lo para cada formato de scanner que você executa. Isso evita o problema da política fragmentada, em que a mesma decisão de risco aceito precisa ser reexpressa separadamente para Trivy, Grype, Snyk e osv-scanner, e previne a divergência em que um CVE é suprimido em uma ferramenta, mas continua ativo em outra.

É um arquivo TOML que contém um array de tabelas [[IgnoredVulns]]. Cada tabela tem um campo id (por exemplo CVE-2023-12345, GHSA-xxxx-yyyy-zzzz, RUSTSEC-2023-0001), uma data de expiração ignoreUntil opcional no formato RFC3339 e uma string reason opcional. O conversor lê e escreve esse formato junto com Trivy, Grype e Snyk.

Os formatos não carregam os mesmos metadados. O .trivyignore do Trivy é uma lista de IDs com comentários opcionais; o .snyk do Snyk é uma política YAML com escopo por caminho e datas de expiração; o .grype.yaml do Grype e o osv-scanner.toml ficam em um meio-termo. Os campos sem equivalente no destino — datas de expiração, escopo de pacote ou de caminho, metadados de motivo — são sinalizados como avisos em vez de descartados silenciosamente, para que você sempre saiba o que não foi mapeado.

Sempre que o formato de destino oferece suporte. Tanto Trivy quanto Snyk carregam motivos legíveis por pessoas (Trivy como comentários de linha e Snyk como um campo reason dedicado), então as justificativas sobrevivem a essas conversões. Quando um formato de destino não tem onde armazenar o motivo, o conversor o mantém como comentário onde for possível e emite um aviso onde não for.

Não. Esta é uma ferramenta independente e comunitária, e não tem afiliação nem é endossada pela Aqua Security (Trivy), Anchore (Grype), Snyk ou Google (osv-scanner). Os nomes dos fornecedores e dos formatos são usados apenas para descrever o que a ferramenta lê e escreve.