GitHub a annoncé le 20 octobre 2026 l’ajout du champ dependency.version_requirement aux alertes Dependabot accessibles par l’API REST et aux webhooks dependabot_alert. Il indique la dernière version ou contrainte connue de la dépendance concernée.
Une information différente de la plage vulnérable
La plage de versions touchées par un avis de sécurité ne dit pas, à elle seule, quelle version figure dans un projet. Le nouveau champ apporte ce contexte : version résolue dans un fichier de verrouillage, contrainte déclarée dans un manifeste sans verrou, ou version résolue lors du build via dependency submission.
Cette précision peut aider à enrichir un outil interne de suivi. Elle ne constitue pas une correction automatique de la vulnérabilité.
Ne pas traiter la réponse comme un inventaire complet
GitHub précise que la valeur est null lorsqu’elle est inconnue. Si plusieurs versions vulnérables sont présentes, une seule peut être renvoyée ; une contrainte longue peut aussi être tronquée.
Une intégration doit donc accepter une information absente ou partielle, sans conclure que toutes les dépendances affectées ont été recensées.
Disponibilité et accès
L’évolution concerne GitHub.com et GitHub Enterprise Cloud avec résidence des données. Son inclusion dans GitHub Enterprise Server 3.24 est annoncée, et non présentée ici comme déjà disponible.
La documentation REST de Dependabot reste la référence pour les permissions des différentes routes de consultation et de mise à jour. L’ajout d’un champ ne rend pas les alertes publiques. Cette API est décrite comme une préversion publique susceptible d’évoluer : les équipes doivent vérifier les droits et les réponses correspondant à leur environnement.
