feat(cyclonedx): inject vulneraribilities_report annotation for CycloneDX

[jiparis]

This PR includes a new annotation to signal when a CycloneDX report contains a vulnerabilities list, so that it can be used as a vulnerabilities report.

This PR also fixes some CycloneDX schema incompatibilities found in some Xray reports. In particular:

• null CWE list in vulnerabilities. "cwes": null is not a valid value
• legacy tools format (pre-v1.5) for v1.6 reports. The standard discourages it (deprecated), but it's still supported

┌────────────────────┬──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┐
│ Name               │ material-1751293484978299000                                                                                                     │
├────────────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Type               │ SBOM_CYCLONEDX_JSON                                                                                                              │
├────────────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Required           │ No                                                                                                                               │
├────────────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Value              │ jfrog-xray-report.json                                                                                                           │
├────────────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Digest             │ sha256:051a9a7dbb6a2f050967578a9ca12d9e44802fc66276218e1152057a4e401cb8                                                          │
├────────────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Annotations        │ ------                                                                                                                           │
├────────────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│                    │ chainloop.material.tool.version: 3.123.4                                                                                         │
├────────────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│                    │ chainloop.material.sbom.vulnerabilities_report: true                                                                             │
├────────────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│                    │ chainloop.material.tool.name: Xray                                                                                               │
├────────────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
│ Policy evaluations │ ------                                                                                                                           │
├────────────────────┼──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤