Skip to content

Conversation

@jiparis
Copy link
Member

@jiparis jiparis commented Nov 13, 2025

This is a small patch to support SBOMs that contain duplicated elements, hence they don't validate against the CycloneDX schema. We do this by capturing the validation error as we already did for null CWEs.

> cldev att add --value ../../test/cyclonedx-duplicated.json
WRN API contacted in insecure mode
INF uploading cyclonedx-duplicated.json - sha256:ff690f84640481d971f0c78118d65ac8618c93aa16c4fd830989f376308fb4d9
INF material kind detected kind=SBOM_CYCLONEDX_JSON
INF material added to attestation
┌────────────────────┬─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┐
│ Name               │ material-1763030345161460000                                                                                                                                                                                                                        │
├────────────────────┼─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Type               │ SBOM_CYCLONEDX_JSON                                                                                                                                                                                                                                 │
├────────────────────┼─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Required           │ No                                                                                                                                                                                                                                                  │
├────────────────────┼─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Value              │ cyclonedx-duplicated.json                                                                                                                                                                                                                           │
├────────────────────┼─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Digest             │ sha256:ff690f84640481d971f0c78118d65ac8618c93aa16c4fd830989f376308fb4d9                                                                                                                                                                             │
├────────────────────┼─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Annotations        │ ------                                                                                                                                                                                                                                              │
├────────────────────┼─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│                    │ chainloop.material.tools: ["Xray@3.131.5"]                                                                                                                                                                                                          │
├────────────────────┼─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│                    │ chainloop.material.tool.name: Xray                                                                                                                                                                                                                  │
├────────────────────┼─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│                    │ chainloop.material.tool.version: 3.131.5                                                                                                                                                                                                            │
├────────────────────┼─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│                    │ chainloop.material.sbom.vulnerabilities_report: true                                                                                                                                                                                                │
├────────────────────┼─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
...

Closes #2514

Signed-off-by: Jose I. Paris <jiparis@chainloop.dev>
@jiparis jiparis requested review from javirln and migmartri November 13, 2025 10:45
@jiparis jiparis merged commit da610ad into chainloop-dev:main Nov 13, 2025
13 checks passed
@jiparis jiparis deleted the 2514-dups branch November 13, 2025 11:23
Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment

Labels

None yet

Projects

None yet

Development

Successfully merging this pull request may close these issues.

Jfrog's Xray generated SBOM not passing Chainloop CycloneDX 1.6 schema validation

2 participants