La plupart des outils vous disent ce qui ne va pas. CVE Lite CLI vous dit quoi exécuter.

Pour la référence complète des drapeaux et des codes de sortie, consultez le [guide de référence CLI](https://owasp.org/cve-lite-cli/docs/cli-reference) et le [guide du mode Fix](https://owasp.org/cve-lite-cli/docs/fix-mode). ## Hygiène des overrides (`overrides`) `overrides` et `resolutions` sont puissants, mais ils se dégradent avec le temps. CVE Lite CLI les audite sur npm, pnpm, yarn et bun, détectant onze classes de problèmes : | Règle | Ce qu'elle détecte | |---|---| | `OA001` | Cible orpheline : override pour un paquet absent de l'arbre | | `OA002` | Tag flottant : override épinglé à un tag mobile (`latest`, `next`) | | `OA003` | Mauvaise section : override placé dans le mauvais conteneur | | `OA004` | Épinglage dépassé : le reste de l'arbre a dépassé l'épingle | | `OA005` | Override imbriqué inefficace qui ne s'applique jamais | | `OA006` | Binaire de plateforme couplé : override entre en conflit avec l'épingle exacte d'un parent | | `OA007` | Latest figé : le registre a dérivé au-delà de la version épinglée (nécessite `--check-network`) | | `OA008` | Copie vulnérable matérialisée toujours sur disque malgré l'override | | `OA009` | Plancher obsolète : le plancher de la plage de l'override est déjà satisfait par toutes les déclarations parentes | | `PD001` | Fantôme d'override uniquement : paquet importé dans la source mais présent uniquement via une épingle d'override | | `PD002` | Fantôme transitif uniquement : paquet importé dans la source mais présent uniquement comme dépendance transitive | Utilisez la sous-commande `overrides` pour une exécution d'hygiène uniquement (aucune analyse CVE, plus rapide, entièrement compatible hors ligne) avec prise en charge de la correction automatique. Utilisez `--check-overrides` pour ajouter les résultats d'hygiène à une analyse CVE régulière en une seule passe.```bash cve-lite /path/to/project overrides # hygiene only - no CVE scan cve-lite /path/to/project overrides --fix # hygiene only, auto-fix where possible cve-lite /path/to/project --check-overrides # CVE scan + hygiene in one pass

| | Dependabot | Mode de correction CVE Lite | |---|---|---| | PR par exécution | Une par paquet | Un PR groupé | | ID d'avis dans le corps du PR | Non | Oui (GHSA-xxxx, CVE-xxxx) | | Version de correction validée par rapport à OSV | Non | Oui | | Comptages avant/après des résultats | Non | Oui | | pnpm / Yarn Berry / Bun | Limité | Prise en charge native complète | | Reconnaissance OWASP | Non | Projet Lab OWASP | [Documentation complète de l'Action ->](https://owasp.org/cve-lite-cli/docs/github-action) - pour le contrôle CI en mode scan uniquement, voir le guide [Intégration CI et Workflow](https://owasp.org/cve-lite-cli/docs/workflow-integration). ## Validation sur le terrain CVE Lite CLI a été évalué sur de véritables projets open source pour vérifier qu'il remonte des problèmes pertinents - y compris des vulnérabilités transitives non évidentes et des chemins de mise à niveau complexes - et pas seulement des correspondances d'avis à faible signal. - [OWASP Juice Shop](https://owasp.org/cve-lite-cli/docs/case-studies/owasp-juice-shop) - analyse d'une application volontairement vulnérable présentant des problèmes de dépendances connus - [NestJS](https://owasp.org/cve-lite-cli/docs/case-studies/nestjs) - déroulement d'une séquence réelle de remédiation de dépendance transitive sur un framework Node.js largement utilisé - [Visual Studio Code](https://owasp.org/cve-lite-cli/docs/case-studies/vscode) - deux avis directs du SDK Anthropic et une chaîne d'outillage gulp à haute sévérité dans le lockfile racine de VS Code - [Gatsby](https://owasp.org/cve-lite-cli/docs/case-studies/gatsby) - monorepo Yarn Classic avec 128 résultats, cinq CVE directs, et déduplication CVE Lite vs `yarn audit` - [Analog](https://owasp.org/cve-lite-cli/docs/case-studies/analog) - monorepo Angular pnpm moderne avec des vulnérabilités d'outillage inattendues [20+ études de cas sur des projets npm, pnpm, Yarn et Bun ->](https://owasp.org/cve-lite-cli/docs/case-studies) Les fixtures de lockfiles dans le dépôt pour la plupart des projets se trouvent sous [`examples/`](https://github.com/owasp/cve-lite-cli/blob/main/examples/readme.md) - clonez et analysez immédiatement sans télécharger les checkouts upstream complets. Ce ne sont pas des démos. Ce sont des analyses documentées sur de véritables bases de code avec de vrais résultats, enregistrés avant et après l'application des commandes de correction. Si vous maintenez un projet open source JavaScript ou TypeScript et souhaitez que CVE Lite CLI soit évalué dessus, ouvrez une issue et partagez le dépôt. ## Presse - **[Sniff out stale AI override advice with this open source CLI](https://www.theregister.com/security/2026/06/23/sniff-out-stale-ai-override-advice-with-this-open-source-cli/5259853)** - The Register (Thomas Claburn, Senior Reporter), juin 2026 - **[Shift left: How CVE Lite CLI is transforming developer security](https://sdtimes.com/security/shift-left-how-cve-lite-cli-is-transforming-developer-security/)** - SD Times (David Rubinstein, Editor-in-Chief), juin 2026 - **[As AI speeds coding, CVE Lite CLI keeps security deliberately AI-free](https://www.csoonline.com/article/4176701/as-ai-speeds-coding-cve-lite-cli-keeps-security-deliberately-ai-free.html)** - CSO Online (Shweta Sharma), mai 2026 - **[CVE Lite CLI: Open-source dependency vulnerability scanner](https://www.helpnetsecurity.com/2026/05/20/cve-lite-cli-open-source-dependency-vulnerability-scanner/)** - Help Net Security, mai 2026 [Couverture presse complète ->](https://owasp.org/cve-lite-cli/docs/press) ## Reconnu par OWASP OWASP (Open Web Application Security Project) est l'organisation à but non lucratif mondialement reconnue à l'origine des normes de sécurité suivies par des millions de développeurs dans le monde - notamment l'[OWASP Top 10](https://owasp.org/www-project-top-ten/), la référence en matière de sécurité des applications web la plus citée de l'industrie. Des startups aux entreprises du Fortune 500, les organisations utilisent les directives OWASP comme fondement de leurs programmes de sécurité. CVE Lite CLI est un [Projet Lab OWASP](https://owasp.org/cve-lite-cli) - examiné et accepté par la communauté OWASP comme un outil de sécurité open source et neutre vis-à-vis des fournisseurs. **Sa place dans l'écosystème OWASP :** CVE Lite CLI comble un manque précis - l'analyse rapide, locale et prioritaire des dépendances JS/TS à proximité de la date de publication - pour laquelle les outils OWASP plus larges ne sont pas optimisés : | Outil | Focus | |---|---| | CVE Lite CLI | Priorité au lockfile, CLI locale pour développeurs, axée sur la remédiation, JS/TS | | OWASP Dependency-Check | Multi-langage, style SAST, écosystème plus large | | OWASP dep-scan | Multi-langage et multi-environnement, SBOM et cloud natif | | OWASP Dependency-Track | Plateforme et gestion SBOM, pas une CLI locale | CVE Lite CLI complète ces outils. Il ne remplace pas la surveillance continue ni la gestion complète des SBOM - c'est le contrôle local rapide que vous exécutez avant de pousser. ## Communauté et adoption CVE Lite CLI est utilisé en production par des organisations et des développeurs indépendants dans plusieurs pays. Les utilisateurs confirmés couvrent les services numériques gouvernementaux, les plateformes d'ingénierie d'entreprise, les bibliothèques open source et la formation à la sécurité. Parmi les adoptants notables : - **SolidJS** - le créateur du framework, Ryan Carniato, a ajouté CVE Lite CLI directement à son CI, analysant chaque modification avec les résultats rapportés à GitHub Code Scanning - **DINUM** (France) - intégré dans quatre dépôts de services numériques du gouvernement français, y compris l'infrastructure officielle de formation à l'IA pour les agents publics - **DGAFP** (France) - Ministère de la Fonction publique, utilisé comme hook de pré-commit sur un chatbot RH du secteur public - **Gouvernement de la Colombie-Britannique** (Canada) - exécuté comme passerelle de fusion obligatoire aux côtés de Trivy au ministère des Services aux citoyens - **Valibot** et **Formisch** - intégrés comme GitHub Action et script de développement avec protection de branche ## Limitations actuelles - ne détecte pas les paquets malveillants avant leur apparition dans les données d'avis - n'effectue pas de détection comportementale de malwares ni d'analyse du contenu des paquets - ne prouve pas l'exploitabilité ni ne vérifie l'atteignabilité à l'exécution - n'analyse pas les images de conteneurs, les binaires, les secrets ni l'IaC - ne remplace pas un programme complet de sécurité applicative - actuellement axé sur l'analyse des dépendances JS/TS - les performances de synchronisation locale des avis devront être optimisées en continu à mesure que l'ensemble de données des avis grandit ## Empreinte des dépendances **Exécution :** `yaml` · `yarn-lockfile` · `better-sqlite3` · `fflate` **Développement uniquement :** `@types/node` · `tsx` · `typescript` C'est intentionnel. Parce que CVE Lite CLI est un outil orienté sécurité, les dépendances d'exécution sont maintenues minimales et vérifiables. ## Documentation complémentaire - [Guide de dépannage](https://owasp.org/cve-lite-cli/docs/troubleshooting) - aucun lockfile trouvé, zéro résultat, synchronisation d'avis lente, erreurs de base de données hors ligne, `--fix` ignorant des résultats, échecs CI - [Guide de couverture des parseurs](https://owasp.org/cve-lite-cli/docs/parser-coverage) - formats de lockfile pris en charge, priorité de sélection, repli sur `package.json`, monorepos, registres privés - [Guide de stratégie de remédiation](https://owasp.org/cve-lite-cli/docs/remediation-strategy) - comment CVE Lite CLI choisit les cibles de mise à niveau et les chemins de mise à jour des parents - [Guide de sensibilisation au délai de publication](https://owasp.org/cve-lite-cli/docs/release-cooldown) - comment CVE Lite CLI lit le délai de votre gestionnaire de paquets et avertit sur les versions de correction plus récentes que la fenêtre que vous considérez fiable ## Sécurité et vérification Chaque version est signée - tags git signés GPG pour la source, attestations d'artefacts Sigstore pour l'archive de version, et signatures ECDSA via le registre npm. Vérifiez avec :```bash gh attestation verify cve-lite-cli-X.Y.Z.tgz --repo OWASP/cve-lite-cli npm audit signatures

[![Protected by CVE Lite CLI](https://img.shields.io/badge/Protected_by-CVE_Lite_CLI-brightgreen)](https://github.com/OWASP/cve-lite-cli) ## Communauté et support Pour les rapports de bogues et les demandes de fonctionnalités : [GitHub Issues](https://github.com/OWASP/cve-lite-cli/issues) Les retours utiles incluent des rapports de bogues reproductibles, des cas limites réels de lockfiles, des idées pour des sorties plus claires et des conseils de remédiation, ainsi que des exemples de workflows CI ou JSON. Vous utilisez CVE Lite CLI dans votre entreprise ou dans vos projets ? [Partagez votre cas d'usage dans le fil de discussion communautaire](https://github.com/OWASP/cve-lite-cli/discussions/481). Pour les signalements liés à la sécurité : [SECURITY.md](https://github.com/OWASP/cve-lite-cli/blob/main/SECURITY.md) Ce projet suit un [Code de conduite](https://github.com/OWASP/cve-lite-cli/blob/main/CODE_OF_CONDUCT.md). Veuillez le consulter avant d'y participer. Si CVE Lite CLI facilite votre workflow de publication, une [étoile GitHub](https://github.com/OWASP/cve-lite-cli) aide davantage de développeurs à le découvrir. ## Contributeurs Merci à tous ceux qui contribuent à améliorer CVE Lite CLI - les issues, les pull requests, la documentation, les études de cas et les retours sur des lockfiles réels comptent tous. <a href="https://github.com/OWASP/cve-lite-cli/graphs/contributors"> <img src="https://contrib.rocks/image?repo=OWASP/cve-lite-cli" alt="Contributors to OWASP/cve-lite-cli" /> </a> Grille d'avatars générée à partir du <a href="https://github.com/OWASP/cve-lite-cli/graphs/contributors">graphe des contributeurs GitHub</a> via <a href="https://contrib.rocks">contrib.rocks</a>. Nouveau ici ? Consultez [CONTRIBUTING.md](https://github.com/OWASP/cve-lite-cli/blob/main/src/docs/CONTRIBUTING.md) pour commencer, et examinez le [Code de conduite](https://github.com/OWASP/cve-lite-cli/blob/main/CODE_OF_CONDUCT.md) avant de participer. ## Sponsors Merci à ceux qui sponsorisent CVE Lite CLI et contribuent à sa maintenance : - [Arkadii Yakovets](https://github.com/arkid15r) --- **Note du mainteneur :** CVE Lite CLI est un projet de laboratoire OWASP maintenu par [Sonu Kapoor](https://github.com/sonukapoor). L'objectif est de construire un outil auquel la communauté sécurité et développeurs fait confiance et auquel elle revient - pas un produit qui exige un verrouillage fournisseur ou un tableau de bord pour être utile. Si vous rencontrez un cas limite réel de lockfile, une lacune de remédiation ou un workflow qui ne correspond pas, ouvrez une issue. Les retours réels issus de projets réels sont l'apport le plus précieux que ce projet reçoit. Consultez [CONTRIBUTING.md](https://github.com/OWASP/cve-lite-cli/blob/main/src/docs/CONTRIBUTING.md) pour savoir comment vous impliquer. --- ## Licence MIT - développé publiquement et maintenu en tant que projet de la fondation OWASP par Sonu Kapoor.

🏆	🎯	🔒
Projet de laboratoire OWASP _{Revu par les pairs par l'organisation derrière l'OWASP Top 10 — la norme de sécurité suivie par des millions de développeurs}	Priorité à la remédiation _{Commandes de correction validées + conseils sur les dépendances transitives tenant compte du parent — pas seulement des identifiants CVE}	S'exécute localement _{Rien ne quitte votre machine — ni votre code, ni votre arbre de dépendances}

Signal	Gravité	Ce que cela signifie
Contrainte bloquante	élevée	Une dépendance directe bloque un correctif CVE transitif derrière une mise à niveau de version majeure
Dépréciée sur npm	moyenne	Une dépendance directe est dépréciée — aucun correctif n’arrivera via une mise à jour normale

Sortie terminal	Tableau de bord HTML (`--report`)

_{Sortie d’analyse par défaut · guide de lecture des sorties}	_{Généré avec --report · guide du rapport HTML}

Capacité	CVE Lite CLI	npm audit	OSV-Scanner	Snyk CLI	Socket CLI
Analyse de lockfiles JS/TS	✅	✅	✅	✅	✅
Prise en charge npm + pnpm + Yarn + Bun	✅	❌	✅	✅	✅
Aucun compte requis	✅	✅	✅	❌	❌
Gratuit	✅	✅	✅	❌	❌
Analyse d’accessibilité tenant compte de l’usage	✅	❌	❌	✅	⚠️
Visibilité direct vs transitif	✅	⚠️	✅	✅	✅
Étiquetage dépendances dev vs runtime	✅	⚠️	❌	⚠️	❌
Commandes de correction copier-exécuter	✅	❌	❌	✅	⚠️
Conseils de mise à jour du parent transitif	✅	❌	⚠️	⚠️	⚠️
Plan de correction suggéré	✅

cve-lite-cli

Populaires

CVE Lite CLI

Démarrage rapide```bash

Utilisation```bash

Risque de maintenance (`--check-maintenance`)

À quoi cela ressemble

Pourquoi CVE Lite CLI

Comparaison

Remplacez Dependabot par une seule PR groupée

.github/workflows/cve-lite-fix.yml

Contribuer

Ajouter un badge à votre projet