Že to tak používá někdo jiný, protože se mu to hodí do databáze, neznamená, že je to tak správně. Nic na tom nezmění, když tu samou databázi odkážete dvakrát. V té databázi máte třeba projekty 491-Project nebo OWSLib pod vendorem GitHub. Pořád ještě trváte na tom, že databáze CVE je směrodatná pro určení, kdo je vendor kterého projektu?
Zabývat se něčím a být za něco zodpovědný je každé něco jiného.