# Trivy CVE 忽略清单
# ------------------------------------------------------------------
# 纪律: 每条忽略必须附具体理由并经安全评审。禁止为"绿"而无理由忽略。
# 失效条件: 每条均标注——一旦条件触发，须立即重评并移除本条目。
# ------------------------------------------------------------------

# CVE-2026-69247 — python-cryptography PKCS#7 解析缺陷（修复版本 50.0.0）
# 理由:
#   1) 代码路径不可达: MAREF 仅使用 cryptography 的 x509 / hashes /
#      serialization / rsa / AESGCM / Ed25519 接口，**不使用 PKCS#7**
#      （无 cryptography.hazmat.primitives.serialization.pkcs7 导入）。
#   2) 升级不可行: cryptography>=50.0.0 与 mitmproxy 冲突——mitmproxy 最新版
#      12.2.3 硬 pin cryptography<=48.1，且无更高版本；移除 mitmproxy 属架构决策。
# 失效条件: mitmproxy 解除 cryptography pin，或 MAREF 引入 PKCS#7 用法时，重评本条目。
CVE-2026-69247

# CVE-2026-69249 — python-cryptography 重复解析缺陷（修复版本 49.0.0）
# 理由: 同 CVE-2026-69247——升级至 >=49.0.0 同样与 mitmproxy(<=48.1 pin) 冲突，
#       且该缺陷位于 cryptography 的解析路径，MAREF 的 Ed25519/HMAC/AESGCM 用法不触及。
# 失效条件: mitmproxy 解除 pin 或 cryptography 可升级时，重评本条目。
CVE-2026-69249

# CVE-2023-34092 / CVE-2024-23331 / CVE-2026-53571 — vite server.fs.deny 绕过
# 理由: trivy **误报** (pnpm-lock 解析缺陷)——
#   gui/pnpm-lock.yaml 中无真实 vite@4；trivy 将 `@tailwindcss/vite@4.3.0`
#   误解析为 `vite@4.3.0`。真实 vite 为 8.2.0 (远超修复线 4.3.9/5.0.12/8.0.16)。
#   同理 website/pnpm-lock.yaml 的 vite@4.3.1 = @tailwindcss/vite@4.3.1 误报。
# 失效条件: pnpm lock 出现真实 vite 低于修复线时，立即重评并移除。
CVE-2023-34092
CVE-2024-23331
CVE-2024-52011
CVE-2026-53571



# CVE-2026-93748 — http-cache-semantics 缓存语义处理缺陷（上游暂无修复版本）
# 理由: gui/pnpm-lock.yaml 中的构建期传递依赖，当前无可用修复版本；
#       GUI 运行时不经该包处理不可信 HTTP 缓存。
# 失效条件: 上游发布修复版本，或该依赖进入运行时路径时，立即重评并移除。
CVE-2026-93748
