VEX
Vulnerability Exploitability eXchange: formato leggibile dalle macchine con cui il fornitore dichiara che una CVE presente nella sua SBOM NON si applica, è corretta o è in esame. Elimina i falsi positivi degli scanner di CVE.
Motivazione: una SBOM elenca tutto il codice, dipendenze transitive comprese, e lo scanner di CVE segnala ogni corrispondenza. Spesso, però, il codice non CHIAMA la funzione vulnerabile. VEX permette al fornitore di dichiarare «not_affected: la funzione vulnerabile non è usata». Valori di stato: not_affected, affected, fixed, under_investigation. Formati: CSAF (OASIS, XML/JSON), OpenVEX (CNCF, JSON minimale), incorporato in CycloneDX. Aiuta i moderni strumenti SCA a distinguere l'esposizione «possibile» da quella «effettiva».