Есть такой проект OSS-Fuzz от Google, платформа непрерывного фазинга, куда Google приглашает проекты с открытым исходном кодом и позволяет искать уязвимости, баги и сообщать о них непосредственно разработчикам.
С момента запуска OSS-Fuzz найдены тысячи уязвимостей, и их количество только увеличивается, естественно многие из них даже не имеют никакого CVE идентификатора, и лишь сотни из них по-настоящему исправляются, большинством никто даже не занимается. Проблема усложняется тем, что для категоризации работы OSS-Fuzz требуется слишком много ресурсов: не все найденные проблемы опасны, и не на все в результате получат CVE и какие-либо исправления.
Этот вопрос сообществу еще предстоит решить, но для проблем, на которые все же обратили внимание, и они стали публичными, есть рекомендации по исправлению.
Короче, ребята из Vulners анонсировали, что интегрировались OSS-Fuzz и теперь можно проверять конкретные версии используемых в разработке пакетов/библиотек на наличие в них известных проблем с безопасностью.
https://vulners.blog/2020/04/17/ossfuzz-from-vulners/
