VEX
Vulnerability Exploitability eXchange — maskinläsbart format där leverantör uttrycker "denna CVE i vår SBOM gäller INTE / är fixad / är under utredning". Skär bort false positives från CVE-scanners.
Motivation: SBOM listar all kod inklusive transitive deps; CVE-scanner triggar på varje match. Verkligheten är ofta att din kod inte ANROPAR den sårbara funktionen. VEX låter leverantör säga "not_affected — sårbar funktion används inte". Statusvärden: not_affected, affected, fixed, under_investigation. Formats: CSAF (OASIS, XML/JSON), OpenVEX (CNCF, minimal JSON), CycloneDX-inbäddat. Driver moderna SCA-tools att skilja "möjlig" från "verklig" exponering.