Oder einmalig mit `npx`:```bash
npx cve-lite-cli /path/to/project

Für die vollständige Flag-Referenz und Exit-Codes siehe das [CLI-Referenzhandbuch](https://owasp.org/cve-lite-cli/docs/cli-reference) und das [Fix-Modus-Handbuch](https://owasp.org/cve-lite-cli/docs/fix-mode).

## Override-Hygiene (`overrides`)

`overrides` und `resolutions` sind mächtig, aber sie verrotten. CVE Lite CLI prüft sie über npm, pnpm, yarn und bun hinweg und erkennt elf Problemklassen:

| Regel | Was erkannt wird |
|---|---|
| `OA001` | Verwaistes Ziel: Override für ein Paket, das nicht mehr im Baum vorhanden ist |
| `OA002` | Schwebendes Tag: Override ist an ein bewegliches Tag (`latest`, `next`) gepinnt |
| `OA003` | Falscher Abschnitt: Override im falschen Container platziert |
| `OA004` | Überholter Pin: Der Rest des Baums hat den Pin hinter sich gelassen |
| `OA005` | Verschachteltes wirkungsloses Override, das nie greift |
| `OA006` | Gekoppelte Plattform-Binärdatei: Override steht im Konflikt mit dem exakten Pin einer übergeordneten Abhängigkeit |
| `OA007` | Eingefrorenes Latest: Die Registry ist über die gepinnte Version hinausgedriftet (erfordert `--check-network`) |
| `OA008` | Materialisierte verwundbare Kopie trotz des Overrides weiterhin auf der Festplatte |
| `OA009` | Veraltete Untergrenze: Die Untergrenze des Override-Bereichs wird bereits von allen übergeordneten Deklarationen erfüllt |
| `PD001` | Nur-Override-Phantom: Paket im Quellcode importiert, aber nur über einen Override-Pin vorhanden |
| `PD002` | Nur-transitives Phantom: Paket im Quellcode importiert, aber nur als transitive Abhängigkeit vorhanden |

Verwenden Sie den Unterbefehl `overrides` für einen reinen Hygiene-Lauf (kein CVE-Scan, schneller, vollständig offline-fähig) mit Auto-Fix-Unterstützung. Verwenden Sie `--check-overrides`, um Hygiene-Ergebnisse in einem Durchgang an einen regulären CVE-Scan anzuhängen.```bash
cve-lite /path/to/project overrides           # hygiene only - no CVE scan
cve-lite /path/to/project overrides --fix     # hygiene only, auto-fix where possible
cve-lite /path/to/project --check-overrides   # CVE scan + hygiene in one pass

For the full guide, see the [Leitfaden zur Erkennung von Wartungsrisiken](https://owasp.org/cve-lite-cli/docs/maintenance-risk).

## Bewusstsein für Release-Cooldowns

Paketmanager haben einen Release-Cooldown eingeführt, um das Gefahrenfenster direkt nach der Veröffentlichung einer Version zu überspringen, wenn eine gekaperte Veröffentlichung live, aber noch nicht erkannt ist (der `chalk`/`debug`-Kompromiss war etwa zwei Stunden lang live). CVE Lite CLI liest den Cooldown, den Ihr Projekt bereits konfiguriert hat, und warnt, wenn ein empfohlener Fix neuer ist als dieses Fenster, sodass es Sie nie stillschweigend auf eine Version bringt, die Ihr eigener Paketmanager nicht installieren würde.```
High severity fix commands
  ⚠ Published 2026-07-01, newer than your configured 365 day release cooldown (.npmrc); your package manager would hold this version - validate before overriding.
> npm install [email protected]   (published 2026-07-01)

| | Dependabot | CVE Lite Fix-Modus |
|---|---|---|
| PRs pro Durchlauf | Ein PR pro Paket | Ein gebündelter PR |
| Advisory-IDs im PR-Body | Nein | Ja (GHSA-xxxx, CVE-xxxx) |
| Fix-Version gegen OSV validiert | Nein | Ja |
| Befundzahlen vorher/nachher | Nein | Ja |
| pnpm / Yarn Berry / Bun | Eingeschränkt | Volle native Unterstützung |
| OWASP-Anerkennung | Nein | OWASP-Lab-Projekt |

[Vollständige Action-Dokumentation ->](https://owasp.org/cve-lite-cli/docs/github-action) - für reines Scan-CI-Gating siehe den [Leitfaden für CI- und Workflow-Integration](https://owasp.org/cve-lite-cli/docs/workflow-integration).

## Validierung in der Praxis

CVE Lite CLI wurde anhand realer Open-Source-Projekte evaluiert, um zu verifizieren, dass es aussagekräftige Probleme aufdeckt - einschließlich nicht offensichtlicher transitiver Schwachstellen und komplexer Upgrade-Pfade - und nicht nur Advisory-Treffer mit geringer Aussagekraft.

- [OWASP Juice Shop](https://owasp.org/cve-lite-cli/docs/case-studies/owasp-juice-shop) - Scannen einer absichtlich verwundbaren Anwendung mit bekannten Abhängigkeitsproblemen
- [NestJS](https://owasp.org/cve-lite-cli/docs/case-studies/nestjs) - Durcharbeiten einer realen Behebungssequenz für transitive Abhängigkeiten über ein weit verbreitetes Node.js-Framework
- [Visual Studio Code](https://owasp.org/cve-lite-cli/docs/case-studies/vscode) - zwei direkte Anthropic-SDK-Advisories und eine gulp-Toolchain-Kette mit hohem Schweregrad in der VS-Code-Root-Lockfile
- [Gatsby](https://owasp.org/cve-lite-cli/docs/case-studies/gatsby) - Yarn-Classic-Monorepo mit 128 Befunden, fünf direkten CVEs und Deduplizierung von CVE Lite gegenüber `yarn audit`
- [Analog](https://owasp.org/cve-lite-cli/docs/case-studies/analog) - modernes pnpm-Angular-Monorepo mit unerwarteten Toolchain-Schwachstellen

[20+ Fallstudien zu npm-, pnpm-, Yarn- und Bun-Projekten ->](https://owasp.org/cve-lite-cli/docs/case-studies)

Die Lockfile-Fixtures für die meisten Projekte liegen unter [`examples/`](https://github.com/owasp/cve-lite-cli/blob/HEAD/examples/readme.md) - sofort klonen und scannen, ohne vollständige Upstream-Checkouts herunterzuladen.

Das sind keine Demos. Es handelt sich um dokumentierte Scans gegen reale Codebasen mit echten Befunden, aufgezeichnet vor und nach der Anwendung von Fix-Befehlen.

Wenn Sie ein Open-Source-JavaScript- oder TypeScript-Projekt pflegen und möchten, dass CVE Lite CLI darauf evaluiert wird, eröffnen Sie ein Issue und teilen Sie das Repository.

## Presse

- **[Veraltete KI-Override-Ratschläge mit dieser Open-Source-CLI aufspüren](https://www.theregister.com/security/2026/06/23/sniff-out-stale-ai-override-advice-with-this-open-source-cli/5259853)** - The Register (Thomas Claburn, Senior-Reporter), Juni 2026
- **[Shift Left: Wie CVE Lite CLI die Sicherheit von Entwicklern verändert](https://sdtimes.com/security/shift-left-how-cve-lite-cli-is-transforming-developer-security/)** - SD Times (David Rubinstein, Chefredakteur), Juni 2026
- **[Während KI das Programmieren beschleunigt, hält CVE Lite CLI die Sicherheit bewusst KI-frei](https://www.csoonline.com/article/4176701/as-ai-speeds-coding-cve-lite-cli-keeps-security-deliberately-ai-free.html)** - CSO Online (Shweta Sharma), Mai 2026
- **[CVE Lite CLI: Open-Source-Abhängigkeits-Schwachstellenscanner](https://www.helpnetsecurity.com/2026/05/20/cve-lite-cli-open-source-dependency-vulnerability-scanner/)** - Help Net Security, Mai 2026

[Vollständige Presseberichterstattung ->](https://owasp.org/cve-lite-cli/docs/press)

## Von OWASP anerkannt

OWASP (Open Web Application Security Project) ist die weltweit anerkannte gemeinnützige Organisation hinter den Sicherheitsstandards, denen Millionen von Entwicklern weltweit folgen - allen voran der [OWASP Top 10](https://owasp.org/www-project-top-ten/), der am häufigsten zitierten Referenz für Webanwendungssicherheit in der Branche. Organisationen von Start-ups bis hin zu Fortune-500-Unternehmen nutzen die OWASP-Richtlinien als Grundlage ihrer Sicherheitsprogramme.

CVE Lite CLI ist ein [OWASP-Lab-Projekt](https://owasp.org/cve-lite-cli) - von der OWASP-Community als herstellerneutrales Open-Source-Sicherheitstool geprüft und akzeptiert.

**Wo es in das OWASP-Ökosystem passt:**

CVE Lite CLI schließt eine spezifische Lücke - schnelles, lokales JS/TS-Abhängigkeits-Scannen nahe am Release-Zeitpunkt - auf das breiter angelegte OWASP-Tools nicht optimiert sind:

| Tool | Fokus |
|---|---|
| CVE Lite CLI | Lockfile-first, lokale Entwickler-CLI, remediationsfokussiert, JS/TS |
| OWASP Dependency-Check | Mehrsprachig, SAST-artig, breiteres Ökosystem |
| OWASP dep-scan | Mehrsprachig und umgebungsübergreifend, SBOM und cloud-nativ |
| OWASP Dependency-Track | Plattform- und SBOM-Verwaltung, keine lokale CLI |

CVE Lite CLI ergänzt diese Tools. Es ist kein Ersatz für kontinuierliches Monitoring oder vollständiges SBOM-Management - es ist die schnelle lokale Prüfung, die Sie vor dem Pushen ausführen.

## Community und Verbreitung

CVE Lite CLI wird in Produktion von Organisationen und unabhängigen Entwicklern in mehreren Ländern eingesetzt. Bestätigte Nutzer umfassen staatliche Digitaldienste, Unternehmens-Engineering-Plattformen, Open-Source-Bibliotheken und Sicherheitsschulungen.

Zu den namhaften Anwendern gehören:

- **DINUM** (Frankreich) - integriert in vier Repositorien französischer staatlicher Digitaldienste, einschließlich der offiziellen KI-Trainingsinfrastruktur für Beamte
- **DGAFP** (Frankreich) - Ministerium für den öffentlichen Dienst, eingesetzt als Pre-Commit-Hook bei einem HR-Chatbot des öffentlichen Sektors
- **Regierung von British Columbia** (Kanada) - läuft als erforderliches Merge-Gate neben Trivy im Ministry of Citizens' Services
- **Valibot** und **Formish** - integriert als GitHub Action und Dev-Skript mit Branch Protection

## Aktuelle Einschränkungen

- erkennt keine bösartigen Pakete, bevor sie in Advisory-Daten erscheinen
- führt keine verhaltensbasierte Malware-Erkennung oder Paket-Inhaltsanalyse durch
- weist keine Ausnutzbarkeit nach und verifiziert keine Laufzeit-Erreichbarkeit
- scannt keine Container-Images, Binärdateien, Secrets oder IaC
- ersetzt kein vollständiges Anwendungssicherheitsprogramm
- derzeit auf JS/TS-Abhängigkeits-Scans fokussiert
- die Leistung der lokalen Advisory-Synchronisierung muss mit wachsendem Advisory-Datensatz weiter optimiert werden

## Abhängigkeits-Fußabdruck

**Laufzeit:** `yaml` · `yarn-lockfile` · `better-sqlite3` · `fflate`

**Nur für Entwicklung:** `@types/node` · `tsx` · `typescript`

Dies ist beabsichtigt. Da CVE Lite CLI ein sicherheitsorientiertes Tool ist, werden die Laufzeitabhängigkeiten minimal und überprüfbar gehalten.

## Weitere Dokumentation

- [Leitfaden zur Fehlerbehebung](https://owasp.org/cve-lite-cli/docs/troubleshooting) - keine Lockfile gefunden, null Ergebnisse, langsame Advisory-Synchronisierung, Offline-DB-Fehler, `--fix` überspringt Befunde, CI-Fehler
- [Leitfaden zur Parser-Abdeckung](https://owasp.org/cve-lite-cli/docs/parser-coverage) - unterstützte Lockfile-Formate, Auswahlpriorität, `package.json`-Fallback, Monorepos, private Registries
- [Leitfaden zur Remediation-Strategie](https://owasp.org/cve-lite-cli/docs/remediation-strategy) - wie CVE Lite CLI Upgrade-Ziele und übergeordnete Update-Pfade auswählt
- [Leitfaden zum Release-Cooldown](https://owasp.org/cve-lite-cli/docs/release-cooldown) - wie CVE Lite CLI den Cooldown Ihres Paketmanagers liest und vor Fix-Versionen warnt, die neuer sind als das von Ihnen vertraute Zeitfenster

## Sicherheit und Verifizierung

Jede Veröffentlichung ist signiert - GPG-signierte Git-Tags für den Quellcode, Sigstore-Artifact-Attestations für das Release-Tarball und ECDSA-Signaturen über die npm-Registry. Verifizieren mit:```bash
gh attestation verify cve-lite-cli-X.Y.Z.tgz --repo OWASP/cve-lite-cli
npm audit signatures

[![Protected by CVE Lite CLI](https://img.shields.io/badge/Protected_by-CVE_Lite_CLI-brightgreen)](https://github.com/OWASP/cve-lite-cli)

## Community und Support

Für Fehlerberichte und Funktionswünsche: [GitHub Issues](https://github.com/OWASP/cve-lite-cli/issues)

Hilfreiches Feedback umfasst reproduzierbare Fehlerberichte, reale Lockfile-Grenzfälle, Ideen für klarere Ausgaben und Anleitungen zur Behebung sowie CI- oder JSON-Workflow-Beispiele.

Nutzt du CVE Lite CLI in deinem Unternehmen oder in deinen Projekten? [Teile deinen Anwendungsfall im Community-Thread](https://github.com/OWASP/cve-lite-cli/discussions/481).

Für sicherheitsbezogene Meldungen: [SECURITY.md](https://github.com/OWASP/cve-lite-cli/blob/main/SECURITY.md)

Dieses Projekt folgt einem [Verhaltenskodex](https://github.com/OWASP/cve-lite-cli/blob/main/CODE_OF_CONDUCT.md). Bitte lies ihn, bevor du teilnimmst.

Wenn CVE Lite CLI deinen Release-Workflow unterstützt, hilft ein [GitHub-Stern](https://github.com/OWASP/cve-lite-cli) weiteren Entwicklern, das Tool zu finden.

## Mitwirkende

Vielen Dank an alle, die helfen, CVE Lite CLI zu verbessern - Issues, Pull Requests, Dokumentation, Fallstudien und Feedback zu echten Lockfiles zählen alle.

<p align="center">
  <a href="https://github.com/OWASP/cve-lite-cli/graphs/contributors">
    <img src="https://contrib.rocks/image?repo=OWASP/cve-lite-cli" alt="Contributors to OWASP/cve-lite-cli" />
  </a>
</p>

<p align="center">
  <sub>Avatar-Raster generiert aus dem <a href="https://github.com/OWASP/cve-lite-cli/graphs/contributors">GitHub-Mitwirkenden-Diagramm</a> über <a href="https://contrib.rocks">contrib.rocks</a>.</sub>
</p>

Neu hier? Sieh dir [CONTRIBUTING.md](https://github.com/OWASP/cve-lite-cli/blob/main/src/docs/CONTRIBUTING.md) an, um loszulegen, und lies den [Verhaltenskodex](https://github.com/OWASP/cve-lite-cli/blob/main/CODE_OF_CONDUCT.md), bevor du teilnimmst.

## Sponsoren

Danke an alle, die CVE Lite CLI sponsern und helfen, es gepflegt zu halten:

- [Arkadii Yakovets](https://github.com/arkid15r)

---

**Hinweis des Maintainers:** CVE Lite CLI ist ein OWASP-Lab-Projekt, gepflegt von [Sonu Kapoor](https://github.com/sonukapoor). Das Ziel ist es, ein Tool zu entwickeln, dem die Sicherheits- und Entwickler-Community vertraut und zu dem sie gerne zurückkehrt - kein Produkt, das eine Herstellerbindung (Vendor-Lock-in) oder ein Dashboard erfordert, um nützlich zu sein. Wenn du einen realen Lockfile-Grenzfall, eine Behebungslücke oder einen Workflow findest, der nicht passt, eröffne ein Issue. Feedback aus echten Projekten ist der wertvollste Beitrag, den dieses Projekt erhält. Wie du dich einbringen kannst, erfährst du in [CONTRIBUTING.md](https://github.com/OWASP/cve-lite-cli/blob/main/src/docs/CONTRIBUTING.md).

---

## Lizenz

MIT - öffentlich entwickelt und als OWASP-Foundation-Projekt von Sonu Kapoor gepflegt.