VulnerableCode ist eine offene Datenbank mit API für bekannte Schwachstellen in Softwarepaketen. Sie bündelt Daten aus mehreren öffentlichen Quellen und ordnet sie nach Paket, wobei Package URLs (PURL) als Schlüssel dienen. So lässt sich pro Paket oder Paketname nachschlagen, welche Schwachstellen gelten und welche Versionen eine Korrektur enthalten. Sicherheitsteams und Entwickler nutzen das für die Verwaltung der Software-Lieferkette. Es gibt eine Weboberfläche und eine API sowie Werkzeuge, um eine eigene Instanz aufzubauen.
VulnerableCode wird von AboutCode Europe ASBL gepflegt, einer gemeinnützigen Organisation in Brüssel. Der Code steht unter Apache-2.0, die Referenzdaten unter CC-BY-SA-4.0, beides offene Lizenzen. Sie können die Software selbst betreiben, sodass Ihre Abfragen nicht an einen externen Anbieter gehen, oder die öffentliche Instanz unter public.vulnerablecode.io nutzen; wo diese gehostet wird, ist nicht veröffentlicht. Die Entwicklung wurde über das NGI-Zero-Programm der EU, umgesetzt von NLnet, mitfinanziert.