cve-lite-cli v1.30.0
तेज़, डेवलपर-अनुकूल JS/TS निर्भरता भेद्यता स्कैनर जिसमें स्थानीय lockfile स्कैनिंग, OSV मिलान, प्रत्यक्ष बनाम अप्रत्यक्ष दृश्यता, --fix, JSON आउटपुट, और व्यावहारिक सुधार मार्गदर्शन शामिल है।
अधिकांश उपकरण आपको बताते हैं कि क्या गलत है। CVE Lite CLI आपको बताता है कि क्या चलाना है।
CVE Lite CLI
🏆 आधिकारिक रूप से एक OWASP Lab Project के रूप में मान्यता प्राप्त
वल्नरेबिलिटी स्कैनिंग जो आपके टर्मिनल में शुरू होती है और CI में सफाई से फिट होती है।
अपनी लॉकफ़ाइल स्कैन करें, कॉपी-करें-और-चलाएँ फिक्स कमांड पाएं, और क्लीन कोड शिप करें।
स्कैन करें। समझें। ठीक करें।
| 🏆 | 🎯 | 🔒 |
| OWASP Lab Project सहकर्मी-समीक्षित, OWASP Top 10 के पीछे वाले संगठन द्वारा — वह सुरक्षा मानक जिसे लाखों डेवलपर अपनाते हैं | सुधार-प्रथम सत्यापित फिक्स कमांड + पैरेंट-जागरूक ट्रांज़िटिव मार्गदर्शन — केवल CVE आईडी नहीं | लोकल चलता है आपकी मशीन से कुछ भी बाहर नहीं जाता — न आपका कोड, न आपका डिपेंडेंसी ट्री |
त्वरित प्रारंभ • उपयोग • स्क्रीनशॉट • HTML रिपोर्ट • तुलना • रोडमैप • योगदान • स्लैक से जुड़ें
पैकेज मैनेजर
 npm |  pnpm |  Yarn |  Bun |
त्वरित प्रारंभ```bash
npm install -g cve-lite-cli cve-lite /path/to/project
या `npx` के साथ एक बार:```bash
npx cve-lite-cli /path/to/project
कोई खाता नहीं। कोई कॉन्फ़िगरेशन नहीं। आपकी मशीन से कोई सोर्स कोड बाहर नहीं जाता।
उपयोग```bash
cve-lite /path/to/project # basic scan cve-lite /path/to/project --verbose # full fix plan with dependency paths cve-lite /path/to/project --fix # apply validated direct fixes and rescan cve-lite /path/to/project --fail-on high # exit non-zero on high severity and above cve-lite /path/to/project --json # JSON output cve-lite /path/to/project --sarif # SARIF output for GitHub Code Scanning cve-lite /path/to/project --report # interactive HTML dashboard cve-lite /path/to/project --check-overrides # audit override hygiene alongside the CVE scan cve-lite /path/to/project --check-maintenance # flag CVE-blocking version drag and npm-deprecated direct deps cve-lite advisories sync # sync advisory DB for offline use cve-lite advisories init # create an empty advisory DB to populate yourself cve-lite /path/to/project --offline # scan with no runtime API calls
पूर्ण फ़्लैग संदर्भ और एग्ज़िट कोड के लिए [CLI Reference guide](https://owasp.org/cve-lite-cli/docs/cli-reference) और [Fix mode guide](https://owasp.org/cve-lite-cli/docs/fix-mode) देखें।
## ओवरराइड स्वच्छता (`overrides`)
`overrides` और `resolutions` शक्तिशाली हैं, लेकिन वे समय के साथ जर्जर हो जाते हैं। CVE Lite CLI npm, pnpm, yarn, और bun में उनका ऑडिट करता है, जिससे समस्याओं की ग्यारह श्रेणियाँ पकड़ी जाती हैं:
| नियम | यह क्या पकड़ता है |
|---|---|
| `OA001` | अनाथ लक्ष्य: ऐसे पैकेज के लिए override जो अब ट्री में नहीं है |
| `OA002` | फ्लोटिंग टैग: override किसी बदलते टैग (`latest`, `next`) पर पिन किया गया |
| `OA003` | गलत सेक्शन: override गलत कंटेनर में रखा गया |
| `OA004` | पिन से आगे निकला: ट्री के बाकी हिस्से पिन से आगे निकल चुके हैं |
| `OA005` | नेस्टेड अप्रभावी override जो कभी लागू नहीं होता |
| `OA006` | युग्मित प्लेटफ़ॉर्म बाइनरी: override मूल (parent) के सटीक पिन से टकराता है |
| `OA007` | जमा हुआ latest: रजिस्ट्री पिन किए गए संस्करण से आगे बढ़ गई है (`--check-network` की आवश्यकता है) |
| `OA008` | override के बावजूद डिस्क पर अभी भी मौजूद कमजोर प्रति |
| `OA009` | अप्रचलित न्यूनतम सीमा: override रेंज की न्यूनतम सीमा सभी मूल घोषणाओं द्वारा पहले ही पूरी हो चुकी है |
| `PD001` | केवल-ओवरराइड प्रेत: पैकेज स्रोत में आयातित है लेकिन केवल override पिन के माध्यम से मौजूद है |
| `PD002` | केवल-ट्रांजिटिव प्रेत: पैकेज स्रोत में आयातित है लेकिन केवल ट्रांजिटिव डिपेंडेंसी के रूप में मौजूद है |
केवल-स्वच्छता रन (कोई CVE स्कैन नहीं, तेज़, पूरी तरह से ऑफ़लाइन-सक्षम) के लिए ऑटो-फिक्स समर्थन सहित `overrides` सबकमांड का उपयोग करें। एक ही पास में नियमित CVE स्कैन में स्वच्छता परिणाम जोड़ने के लिए `--check-overrides` का उपयोग करें।```bash
cve-lite /path/to/project overrides # hygiene only - no CVE scan
cve-lite /path/to/project overrides --fix # hygiene only, auto-fix where possible
cve-lite /path/to/project --check-overrides # CVE scan + hygiene in one pass
प्रति-नियम उदाहरणों और CI पैटर्न के साथ पूर्ण गाइड के लिए, Override Hygiene Auditing guide देखें।
रखरखाव जोखिम (--check-maintenance)
एक CVE स्कैनर आपको बताता है कि कोई transitive पैकेज कमजोर है। यह आपको नहीं बताता कि आप इसे ठीक क्यों नहीं कर सकते - अक्सर आपकी कोई direct dependency इसे फिक्स से नीचे पिन कर देती है, और इसे हटाने के लिए एक breaking major upgrade की आवश्यकता होती है जिसका स्कैनर कभी उल्लेख नहीं करता। DM001 नियम बिल्कुल यही उजागर करता है, साथ ही npm द्वारा deprecated चिह्नित direct dependencies को भी।
| संकेत | गंभीरता | इसका मतलब |
|---|---|---|
| Constraint drag | उच्च | एक direct dependency किसी transitive CVE फिक्स को major-version अपग्रेड के पीछे ब्लॉक करती है |
| Deprecated on npm | मध्यम | एक direct dependency deprecated है - सामान्य अपडेट से कोई फिक्स नहीं आएगा |
जिन पैकेजों ने वर्षों से प्रकाशित नहीं किया है, उन्हें एक Last release संदर्भ पंक्ति मिलती है; रिलीज़ की आयु सूचनात्मक है, यह अपने आप में गंभीरता का संकेत नहीं है।```bash
cve-lite /path/to/project --check-maintenance # CVE scan + maintenance risk
cve-lite /path/to/project --check-maintenance --fail-on high
For the full guide, see the [रखरखाव जोखिम पहचान मार्गदर्शिका](https://owasp.org/cve-lite-cli/docs/maintenance-risk).
## रिलीज़ कूलडाउन जागरूकता
पैकेज मैनेजरों ने एक रिलीज़ कूलडाउन जोड़ा है ताकि किसी संस्करण के प्रकाशित होने के तुरंत बाद के खतरे की अवधि को छोड़ा जा सके, जब एक हाईजैक की गई रिलीज़ लाइव होती है लेकिन अभी तक पकड़ी नहीं गई होती (`chalk`/`debug` छेड़छाड़ लगभग दो घंटे तक लाइव रही)। CVE Lite CLI आपके प्रोजेक्ट द्वारा पहले से कॉन्फ़िगर किए गए कूलडाउन को पढ़ता है और चेतावनी देता है जब कोई अनुशंसित फिक्स उस विंडो से नया होता है, ताकि यह कभी भी चुपचाप आपको ऐसे संस्करण पर न धकेले जिसे आपका अपना पैकेज मैनेजर इंस्टॉल करने से मना कर देगा।```
High severity fix commands
⚠ Published 2026-07-01, newer than your configured 365 day release cooldown (.npmrc); your package manager would hold this version - validate before overriding.
> npm install [email protected] (published 2026-07-01)
The warning is advisory and on by default (no flag, no exit-code change). It reads min-release-age (npm), minimumReleaseAge (pnpm), or npmMinimalAgeGate (Yarn); it never invents a window.
For the full guide, see the Release Cooldown Awareness guide.
What it looks like
| Terminal output | HTML dashboard (--report) |
|---|---|
|
|
| Default scan output · output guide | Generated with --report · HTML report guide |
Verbose terminal output — includes the full fix plan
Why CVE Lite CLI
Most security tooling is built around pipelines, not developers. Dependabot opens PRs you'll get to eventually. CI scanners block merges after the fact. Dashboards surface lists of CVE IDs with no clear path to fixing them. Developers learn to ignore it.
CVE Lite CLI is built for the moment before you push. It reads your lockfile locally, queries OSV, and produces copy-and-run npm install, pnpm add, yarn add, or bun add commands — not a list of identifiers. You see which packages are direct versus transitive, get parent-aware upgrade guidance, and can scan offline in restricted environments.
The closer a security tool is to a developer's natural workflow, the more likely it is to be used.
How it compares
No other free tool combines all of the following: lockfile scanning across npm, pnpm, Yarn, and Bun; parent-aware transitive remediation that tells you which package to upgrade (not just which one is vulnerable); fix version validation before suggesting an upgrade; and a fully offline advisory DB for restricted environments.
| Capability | CVE Lite CLI | npm audit | OSV-Scanner | Snyk CLI | Socket CLI |
|---|---|---|---|---|---|
| JS/TS lockfile scanning | ✅ | ✅ | ✅ | ✅ | ✅ |
| npm + pnpm + Yarn + Bun support | ✅ | ❌ | ✅ | ✅ | ✅ |
| No account required | ✅ | ✅ | ✅ | ❌ | ❌ |
| Free to use | ✅ | ✅ | ✅ | ❌ | ❌ |
| Usage-aware reachability scanning | ✅ | ❌ | ❌ | ✅ | ⚠️ |
| Direct vs transitive visibility | ✅ | ⚠️ | ✅ | ✅ | ✅ |
| Dev vs runtime dependency labelling | ✅ | ⚠️ | ❌ | ⚠️ | ❌ |
| Copy-and-run fix commands | ✅ | ❌ | ❌ | ✅ | ⚠️ |
| Transitive parent update guidance | ✅ | ❌ | ⚠️ | ⚠️ | ⚠️ |
| Suggested remediation plan | ✅ | ❌ | ⚠️ | ✅ | ⚠️ |
| Ratcheting mode (baseline suppression) | ✅ | ❌ | ❌ | ⚠️ | ❌ |
| Interactive HTML report | ✅ | ❌ | ❌ | ✅ | ❌ |
| SARIF / GitHub Code Scanning output | ✅ | ❌ | ✅ | ✅ | ❌ |
| JSON output | ✅ | ✅ | ✅ | ✅ | ✅ |
| Offline/local advisory DB | ✅ | ❌ | ⚠️ | ❌ | ❌ |
| Override hygiene auditing | ✅ | ❌ | ❌ | ❌ | ❌ |
| Maintenance-risk detection (CVE-fix drag) | ✅ | ❌ | ❌ | ❌ | ❌ |
✅ = built-in strength · ⚠️ = partial or workflow-dependent · ❌ = not a core strength
The transitive parent guidance is a key difference: CVE Lite CLI avoids recommending direct installs for packages that are only present transitively. For npm lockfiles, it can identify when npm update <parent> is enough to re-resolve a known non-vulnerable child within the current parent range, and when the parent package itself needs an upgrade.
For detailed per-tool analysis, see Comparison with other tools.
Replace Dependabot with one batched PR
CVE Lite CLI v1.26.0 ships a GitHub Action fix mode that runs on a schedule and opens a single batched pull request with all validated dependency upgrades - advisory IDs, before/after finding counts, and OSV-confirmed fix versions included.
Add this file to your repo:```yaml
.github/workflows/cve-lite-fix.yml
name: CVE Lite security fixes on: schedule: - cron: '0 6 * * 1' # every Monday at 6am workflow_dispatch: permissions: contents: write pull-requests: write jobs: fix: runs-on: ubuntu-latest steps: - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1 with: ref: ${{ github.event.repository.default_branch }} - uses: OWASP/cve-lite-cli@v1 with: fix: 'true' create-pr: 'true'
| | Dependabot | CVE Lite फिक्स मोड |
|---|---|---|
| प्रति रन PRs | प्रति पैकेज एक | एक बैच किया गया PR |
| PR बॉडी में एडवाइज़री ID | नहीं | हाँ (GHSA-xxxx, CVE-xxxx) |
| OSV के विरुद्ध फिक्स संस्करण सत्यापित | नहीं | हाँ |
| पहले/बाद के findings की संख्या | नहीं | हाँ |
| pnpm / Yarn Berry / Bun | सीमित | पूर्ण मूल समर्थन |
| OWASP मान्यता | नहीं | OWASP लैब प्रोजेक्ट |
[पूर्ण एक्शन दस्तावेज़ीकरण ->](https://owasp.org/cve-lite-cli/docs/github-action) - केवल स्कैन वाले CI गेटिंग के लिए [CI और वर्कफ़्लो इंटीग्रेशन गाइड](https://owasp.org/cve-lite-cli/docs/workflow-integration) देखें।
## वास्तविक-विश्व सत्यापन
CVE Lite CLI का मूल्यांकन वास्तविक ओपन-सोर्स प्रोजेक्ट्स के विरुद्ध किया गया है ताकि यह सत्यापित किया जा सके कि यह सार्थक मुद्दों को सामने लाता है - जिसमें गैर-स्पष्ट ट्रांज़िटिव भेद्यताएँ और जटिल अपग्रेड पथ शामिल हैं - न कि केवल कम-सिग्नल एडवाइज़री मिलान।
- [OWASP Juice Shop](https://owasp.org/cve-lite-cli/docs/case-studies/owasp-juice-shop) - ज्ञात डिपेंडेंसी समस्याओं वाले जानबूझकर कमजोर अनुप्रयोग की स्कैनिंग
- [NestJS](https://owasp.org/cve-lite-cli/docs/case-studies/nestjs) - व्यापक रूप से उपयोग किए जाने वाले Node.js फ्रेमवर्क में वास्तविक ट्रांज़िटिव डिपेंडेंसी रेमेडिएशन अनुक्रम से गुजरना
- [Visual Studio Code](https://owasp.org/cve-lite-cli/docs/case-studies/vscode) - VS Code रूट लॉकफ़ाइल में दो प्रत्यक्ष Anthropic SDK एडवाइज़री और एक उच्च-गंभीरता वाली gulp टूलचेन श्रृंखला
- [Gatsby](https://owasp.org/cve-lite-cli/docs/case-studies/gatsby) - 128 findings, पाँच प्रत्यक्ष CVEs, और CVE Lite बनाम `yarn audit` डिडुप्लिकेशन वाला Yarn Classic मोनोरेपो
- [Analog](https://owasp.org/cve-lite-cli/docs/case-studies/analog) - अप्रत्याशित टूलचेन भेद्यताओं वाला आधुनिक pnpm Angular मोनोरेपो
[npm, pnpm, Yarn, और Bun प्रोजेक्ट्स में 20+ केस स्टडीज़ ->](https://owasp.org/cve-lite-cli/docs/case-studies)
अधिकांश प्रोजेक्ट्स के इन-रेपो लॉकफ़ाइल फिक्स्चर [`examples/`](https://github.com/owasp/cve-lite-cli/blob/HEAD/examples/readme.md) के अंतर्गत हैं - पूर्ण अपस्ट्रीम चेकआउट डाउनलोड किए बिना तुरंत क्लोन और स्कैन करें।
ये डेमो नहीं हैं। ये वास्तविक कोडबेस पर वास्तविक findings के साथ दस्तावेज़ित स्कैन हैं, जिन्हें फिक्स कमांड लागू करने से पहले और बाद में दर्ज किया गया है।
यदि आप किसी ओपन-सोर्स JavaScript या TypeScript प्रोजेक्ट का रखरखाव करते हैं और चाहते हैं कि CVE Lite CLI का उस पर मूल्यांकन हो, तो एक issue खोलें और रिपॉज़िटरी साझा करें।
## प्रेस
- **[इस ओपन सोर्स CLI से पुरानी AI ओवरराइड सलाह को पहचानें](https://www.theregister.com/security/2026/06/23/sniff-out-stale-ai-override-advice-with-this-open-source-cli/5259853)** - The Register (थॉमस क्लेबर्न, वरिष्ठ रिपोर्टर), जून 2026
- **[Shift left: CVE Lite CLI किस तरह डेवलपर सुरक्षा को बदल रहा है](https://sdtimes.com/security/shift-left-how-cve-lite-cli-is-transforming-developer-security/)** - SD Times (डेविड रुबिनस्टीन, प्रधान संपादक), जून 2026
- **[जैसे-जैसे AI कोडिंग तेज़ करता है, CVE Lite CLI सुरक्षा को जानबूझकर AI-मुक्त रखता है](https://www.csoonline.com/article/4176701/as-ai-speeds-coding-cve-lite-cli-keeps-security-deliberately-ai-free.html)** - CSO Online (श्वेता शर्मा), मई 2026
- **[CVE Lite CLI: ओपन-सोर्स डिपेंडेंसी भेद्यता स्कैनर](https://www.helpnetsecurity.com/2026/05/20/cve-lite-cli-open-source-dependency-vulnerability-scanner/)** - Help Net Security, मई 2026
[पूर्ण प्रेस कवरेज ->](https://owasp.org/cve-lite-cli/docs/press)
## OWASP द्वारा मान्यता प्राप्त
OWASP (ओपन वेब एप्लिकेशन सिक्योरिटी प्रोजेक्ट) वैश्विक रूप से मान्यता प्राप्त गैर-लाभकारी संगठन है जो दुनिया भर में लाखों डेवलपर्स द्वारा अपनाए गए सुरक्षा मानकों के पीछे है - विशेष रूप से [OWASP Top 10](https://owasp.org/www-project-top-ten/), जो उद्योग में सबसे व्यापक रूप से उद्धृत वेब एप्लिकेशन सुरक्षा संदर्भ है। स्टार्टअप्स से लेकर Fortune 500 कंपनियों तक के संगठन अपने सुरक्षा कार्यक्रमों की नींव के रूप में OWASP दिशानिर्देशों का उपयोग करते हैं।
CVE Lite CLI एक [OWASP लैब प्रोजेक्ट](https://owasp.org/cve-lite-cli) है - OWASP समुदाय द्वारा विक्रेता-तटस्थ, ओपन सोर्स सुरक्षा उपकरण के रूप में समीक्षित और स्वीकृत।
**यह OWASP इकोसिस्टम में कहाँ फिट बैठता है:**
CVE Lite CLI एक विशिष्ट अंतर को भरता है - रिलीज़ समय के करीब तेज़, लोकल-फर्स्ट JS/TS डिपेंडेंसी स्कैनिंग - जिसके लिए व्यापक OWASP उपकरण अनुकूलित नहीं हैं:
| उपकरण | केंद्र |
|---|---|
| CVE Lite CLI | लॉकफ़ाइल-प्रथम, स्थानीय डेवलपर CLI, रेमेडिएशन-केंद्रित, JS/TS |
| OWASP Dependency-Check | बहु-भाषा, SAST-शैली, व्यापक इकोसिस्टम |
| OWASP dep-scan | बहु-भाषा और पर्यावरण, SBOM और क्लाउड-नेटिव |
| OWASP Dependency-Track | प्लेटफ़ॉर्म और SBOM प्रबंधन, स्थानीय CLI नहीं |
CVE Lite CLI इन उपकरणों का पूरक है। यह निरंतर निगरानी या पूर्ण SBOM प्रबंधन का विकल्प नहीं है - यह तेज़ स्थानीय जाँच है जिसे आप पुश करने से पहले चलाते हैं।
## समुदाय और एडॉप्शन
CVE Lite CLI कई देशों में संगठनों और स्वतंत्र डेवलपर्स द्वारा प्रोडक्शन में उपयोग किया जाता है। पुष्ट उपयोगकर्ताओं में सरकारी डिजिटल सेवाएँ, एंटरप्राइज़ इंजीनियरिंग प्लेटफ़ॉर्म, ओपन-सोर्स लाइब्रेरीज़ और सुरक्षा शिक्षा शामिल हैं।
उल्लेखनीय अपनाने वालों में शामिल हैं:
- **DINUM** (फ्रांस) - चार फ्रांसीसी सरकारी डिजिटल सेवा रिपॉज़िटरीज़ में एकीकृत, जिसमें सिविल सेवकों के लिए आधिकारिक AI प्रशिक्षण इंफ्रास्ट्रक्चर शामिल है
- **DGAFP** (फ्रांस) - लोक सेवा मंत्रालय, एक सार्वजनिक-क्षेत्र HR चैटबॉट पर प्री-कमिट हुक के रूप में उपयोग किया जाता है
- **ब्रिटिश कोलंबिया सरकार** (कनाडा) - नागरिक सेवा मंत्रालय में Trivy के साथ अनिवार्य मर्ज गेट के रूप में चल रहा है
- **Valibot** और **Formish** - ब्रांच प्रोटेक्शन के साथ GitHub एक्शन और डेव स्क्रिप्ट के रूप में एकीकृत
## वर्तमान सीमाएँ
- एडवाइज़री डेटा में प्रकट होने से पहले दुर्भावनापूर्ण पैकेजों का पता नहीं लगाता
- व्यवहारिक मैलवेयर डिटेक्शन या पैकेज सामग्री विश्लेषण नहीं करता
- शोषण क्षमता साबित नहीं करता या रनटाइम रीचैबिलिटी सत्यापित नहीं करता
- कंटेनर इमेज, बाइनरी, सीक्रेट, या IaC स्कैन नहीं करता
- पूर्ण एप्लिकेशन सुरक्षा कार्यक्रम का विकल्प नहीं है
- वर्तमान में JS/TS डिपेंडेंसी स्कैनिंग पर केंद्रित है
- एडवाइज़री डेटासेट बढ़ने के साथ स्थानीय एडवाइज़री सिंक प्रदर्शन को निरंतर अनुकूलन की आवश्यकता होगी
## डिपेंडेंसी फ़ुटप्रिंट
**रनटाइम:** `yaml` · `yarn-lockfile` · `better-sqlite3` · `fflate`
**केवल डेव:** `@types/node` · `tsx` · `typescript`
यह जानबूझकर है। चूँकि CVE Lite CLI एक सुरक्षा-उन्मुख उपकरण है, रनटाइम डिपेंडेंसी को न्यूनतम और समीक्षा योग्य रखा गया है।
## अधिक दस्तावेज़ीकरण
- [समस्या निवारण गाइड](https://owasp.org/cve-lite-cli/docs/troubleshooting) - lockfile नहीं मिला, शून्य परिणाम, धीमा एडवाइज़री सिंक, ऑफ़लाइन DB त्रुटियाँ, `--fix` द्वारा findings छोड़ना, CI विफलताएँ
- [पार्सर कवरेज गाइड](https://owasp.org/cve-lite-cli/docs/parser-coverage) - समर्थित lockfile प्रारूप, चयन प्राथमिकता, `package.json` फ़ॉलबैक, मोनोरेपो, निजी रजिस्ट्रियाँ
- [रेमेडिएशन रणनीति गाइड](https://owasp.org/cve-lite-cli/docs/remediation-strategy) - CVE Lite CLI अपग्रेड लक्ष्यों और पैरेंट अपडेट पथों को कैसे चुनता है
- [रिलीज़ कूलडाउन जागरूकता गाइड](https://owasp.org/cve-lite-cli/docs/release-cooldown) - CVE Lite CLI आपके पैकेज मैनेजर का कूलडाउन कैसे पढ़ता है और आपके विश्वसनीय विंडो से नए फिक्स संस्करणों पर चेतावनी देता है
## सुरक्षा और सत्यापन
हर रिलीज़ हस्ताक्षरित है - स्रोत के लिए GPG-हस्ताक्षरित git टैग, रिलीज़ टारबॉल के लिए Sigstore आर्टिफैक्ट अटेस्टेशन, और npm रजिस्ट्री के माध्यम से ECDSA हस्ताक्षर। इससे सत्यापित करें:```bash
gh attestation verify cve-lite-cli-X.Y.Z.tgz --repo OWASP/cve-lite-cli
npm audit signatures
पूर्ण विवरण, फ़िंगरप्रिंट और प्रोजेक्ट के खतरा मॉडल के लिए, SECURITY.md और सुरक्षा आश्वासन मामला देखें।
शासन विवरण के लिए - भूमिकाएँ, निर्णय-निर्माण और विवाद समाधान - CONTRIBUTING.md देखें।
योगदान
आउटपुट स्पष्टता, सुधार मार्गदर्शन, इकोसिस्टम कवरेज और CI उपयोग पर प्रतिक्रिया विशेष रूप से मूल्यवान है।
आरंभ करने के लिए CONTRIBUTING.md देखें।
अपने प्रोजेक्ट में एक बैज जोड़ें
यदि आप अपने प्रोजेक्ट में CVE Lite CLI का उपयोग करते हैं, तो यह बैज अपनी README में जोड़ें:```markdown
[](https://github.com/OWASP/cve-lite-cli)
## समुदाय और सहायता
बग रिपोर्ट और फीचर अनुरोधों के लिए: [GitHub Issues](https://github.com/OWASP/cve-lite-cli/issues)
सहायक फीडबैक में पुनरुत्पादनीय बग रिपोर्ट, वास्तविक दुनिया के lockfile एज केस, स्पष्ट आउटपुट और निवारण मार्गदर्शन के विचार, तथा CI या JSON वर्कफ़्लो उदाहरण शामिल हैं।
CVE Lite CLI का उपयोग अपनी कंपनी या अपने प्रोजेक्ट्स में कर रहे हैं? [अपना उपयोग-मामला सामुदायिक थ्रेड में साझा करें](https://github.com/OWASP/cve-lite-cli/discussions/481)।
सुरक्षा से संबंधित रिपोर्टिंग के लिए: [SECURITY.md](https://github.com/OWASP/cve-lite-cli/blob/main/SECURITY.md)
यह प्रोजेक्ट एक [आचार संहिता](https://github.com/OWASP/cve-lite-cli/blob/main/CODE_OF_CONDUCT.md) का पालन करता है। भाग लेने से पहले कृपया इसे पढ़ें।
यदि CVE Lite CLI आपके रिलीज़ वर्कफ़्लो में मदद करता है, तो एक [GitHub star](https://github.com/OWASP/cve-lite-cli) अधिक डेवलपर्स को इसे खोजने में मदद करता है।
## योगदानकर्ता
CVE Lite CLI को बेहतर बनाने में मदद करने वाले सभी लोगों का धन्यवाद - issues, pull requests, दस्तावेज़ीकरण, केस स्टडीज़, और वास्तविक दुनिया की lockfile फीडबैक सभी मायने रखते हैं।
<p align="center">
<a href="https://github.com/OWASP/cve-lite-cli/graphs/contributors">
<img src="https://contrib.rocks/image?repo=OWASP/cve-lite-cli" alt="OWASP/cve-lite-cli के योगदानकर्ता" />
</a>
</p>
<p align="center">
<sub>अवतार ग्रिड <a href="https://github.com/OWASP/cve-lite-cli/graphs/contributors">GitHub contributors graph</a> से <a href="https://contrib.rocks">contrib.rocks</a> के माध्यम से उत्पन्न किया गया है।</sub>
</p>
नए हैं? शुरू करने के लिए [CONTRIBUTING.md](https://github.com/OWASP/cve-lite-cli/blob/main/src/docs/CONTRIBUTING.md) देखें, और भाग लेने से पहले [आचार संहिता](https://github.com/OWASP/cve-lite-cli/blob/main/CODE_OF_CONDUCT.md) पढ़ें।
## प्रायोजक
उन सभी का धन्यवाद जो CVE Lite CLI को प्रायोजित करते हैं और इसे अनुरक्षित रखने में मदद करते हैं:
- [Arkadii Yakovets](https://github.com/arkid15r)
---
**अनुरक्षक टिप्पणी:** CVE Lite CLI एक OWASP Lab Project है जिसे [Sonu Kapoor](https://github.com/sonukapoor) अनुरक्षित करते हैं। लक्ष्य एक ऐसा टूल बनाना है जिस पर सुरक्षा और डेवलपर समुदाय भरोसा करे और बार-बार लौटे - न कि ऐसा उत्पाद जिसे उपयोगी होने के लिए vendor lock-in या डैशबोर्ड की आवश्यकता हो। यदि आपको कोई वास्तविक दुनिया का lockfile एज केस, निवारण में कोई कमी, या कोई ऐसा वर्कफ़्लो मिले जो फिट नहीं बैठता, तो एक issue खोलें। वास्तविक प्रोजेक्ट्स से मिलने वाली वास्तविक दुनिया की फीडबैक इस प्रोजेक्ट को मिलने वाला सबसे मूल्यवान इनपुट है। शामिल होने का तरीका जानने के लिए [CONTRIBUTING.md](https://github.com/OWASP/cve-lite-cli/blob/main/src/docs/CONTRIBUTING.md) देखें।
---
## लाइसेंस
MIT - सार्वजनिक रूप से निर्मित और Sonu Kapoor द्वारा OWASP Foundation Project के रूप में अनुरक्षित।