Oppure una tantum con `npx`:```bash
npx cve-lite-cli /path/to/project

Per il riferimento completo alle flag e ai codici di uscita, consulta la [guida di riferimento CLI](https://owasp.org/cve-lite-cli/docs/cli-reference) e la [guida alla modalità Fix](https://owasp.org/cve-lite-cli/docs/fix-mode).

## Igiene degli override (`overrides`)

`overrides` e `resolutions` sono potenti, ma si deteriorano. CVE Lite CLI li controlla su npm, pnpm, yarn e bun, individuando undici classi di problemi:

| Regola | Cosa rileva |
|---|---|
| `OA001` | Destinatario orfano: override per un pacchetto non più presente nell'albero |
| `OA002` | Tag mobile: override bloccato su un tag che si sposta (`latest`, `next`) |
| `OA003` | Sezione errata: override inserito nel contenitore sbagliato |
| `OA004` | Pin superato: il resto dell'albero si è spostato oltre il pin |
| `OA005` | Override annidato inefficace che non viene mai applicato |
| `OA006` | Binario di piattaforma accoppiato: l'override contrasta il pin esatto del pacchetto padre |
| `OA007` | Latest congelato: il registro è avanzato oltre la versione bloccata (richiede `--check-network`) |
| `OA008` | Copia vulnerabile materializzata ancora su disco nonostante l'override |
| `OA009` | Limite inferiore obsoleto: il limite inferiore dell'intervallo dell'override è già soddisfatto da tutte le dichiarazioni dei pacchetti padre |
| `PD001` | Fantasma solo da override: pacchetto importato nel sorgente ma presente solo tramite un pin dell'override |
| `PD002` | Fantasma solo transitivo: pacchetto importato nel sorgente ma presente solo come dipendenza transitiva |

Usa il sottocomando `overrides` per un'esecuzione di sola igiene (nessuna scansione CVE, più veloce, completamente utilizzabile offline) con supporto alla correzione automatica. Usa `--check-overrides` per aggiungere i risultati di igiene a una normale scansione CVE in un'unica passata.```bash
cve-lite /path/to/project overrides           # hygiene only - no CVE scan
cve-lite /path/to/project overrides --fix     # hygiene only, auto-fix where possible
cve-lite /path/to/project --check-overrides   # CVE scan + hygiene in one pass

Per la guida completa, consulta la [guida al rilevamento dei rischi di manutenzione](https://owasp.org/cve-lite-cli/docs/maintenance-risk).

## Consapevolezza del cooldown di rilascio

I gestori di pacchetti hanno aggiunto un cooldown di rilascio per evitare la finestra di pericolo subito dopo la pubblicazione di una versione, quando una release compromessa è attiva ma non ancora individuata (il compromesso `chalk`/`debug` è rimasto attivo per circa due ore). CVE Lite CLI legge il cooldown già configurato dal tuo progetto e avvisa quando una correzione consigliata è più recente di quella finestra, così non ti spinge mai silenziosamente verso una versione che il tuo stesso gestore di pacchetti rifiuterebbe di installare.```
High severity fix commands
  ⚠ Published 2026-07-01, newer than your configured 365 day release cooldown (.npmrc); your package manager would hold this version - validate before overriding.
> npm install [email protected]   (published 2026-07-01)

| | Dependabot | Modalità fix di CVE Lite |
|---|---|---|
| PR per esecuzione | Una per pacchetto | Una PR in batch |
| ID degli advisory nel corpo della PR | No | Sì (GHSA-xxxx, CVE-xxxx) |
| Versione di fix validata rispetto a OSV | No | Sì |
| Conteggi dei finding prima/dopo | No | Sì |
| pnpm / Yarn Berry / Bun | Limitato | Supporto nativo completo |
| Riconoscimento OWASP | No | OWASP Lab Project |

[Documentazione completa dell'Action ->](https://owasp.org/cve-lite-cli/docs/github-action) - per il gating CI di sola scansione consulta la [guida all'integrazione CI e Workflow](https://owasp.org/cve-lite-cli/docs/workflow-integration).

## Validazione nel mondo reale

CVE Lite CLI è stato valutato su progetti open source reali per verificare che porti alla luce problemi significativi - incluse vulnerabilità transitive non ovvie e percorsi di upgrade complessi - non solo corrispondenze di advisory a basso segnale.

- [OWASP Juice Shop](https://owasp.org/cve-lite-cli/docs/case-studies/owasp-juice-shop) - scansione di un'applicazione volutamente vulnerabile con problemi di dipendenze noti
- [NestJS](https://owasp.org/cve-lite-cli/docs/case-studies/nestjs) - gestione di una sequenza reale di remediation di dipendenze transitive in un framework Node.js ampiamente utilizzato
- [Visual Studio Code](https://owasp.org/cve-lite-cli/docs/case-studies/vscode) - due advisory diretti dell'SDK Anthropic e una catena di toolchain gulp ad alta gravità nel lockfile root di VS Code
- [Gatsby](https://owasp.org/cve-lite-cli/docs/case-studies/gatsby) - monorepo Yarn Classic con 128 finding, cinque CVE dirette e deduplicazione CVE Lite vs `yarn audit`
- [Analog](https://owasp.org/cve-lite-cli/docs/case-studies/analog) - monorepo Angular pnpm moderno con vulnerabilità di toolchain inaspettate

[Oltre 20 case study su progetti npm, pnpm, Yarn e Bun ->](https://owasp.org/cve-lite-cli/docs/case-studies)

I fixture dei lockfile in-repo per la maggior parte dei progetti si trovano in [`examples/`](https://github.com/owasp/cve-lite-cli/blob/HEAD/examples/readme.md): clona e scansiona subito senza scaricare checkout upstream completi.

Non sono demo. Sono scansioni documentate su codebase reali con finding reali, registrate prima e dopo l'applicazione dei comandi di fix.

Se mantieni un progetto open source JavaScript o TypeScript e vuoi che CVE Lite CLI venga valutato su di esso, apri una issue e condividi il repository.

## Stampa

- **[Scova i consigli obsoleti di override AI con questa CLI open source](https://www.theregister.com/security/2026/06/23/sniff-out-stale-ai-override-advice-with-this-open-source-cli/5259853)** - The Register (Thomas Claburn, Senior Reporter), giugno 2026
- **[Shift left: come CVE Lite CLI sta trasformando la sicurezza degli sviluppatori](https://sdtimes.com/security/shift-left-how-cve-lite-cli-is-transforming-developer-security/)** - SD Times (David Rubinstein, Editor-in-Chief), giugno 2026
- **[Mentre l'AI accelera la programmazione, CVE Lite CLI mantiene la sicurezza deliberatamente senza AI](https://www.csoonline.com/article/4176701/as-ai-speeds-coding-cve-lite-cli-keeps-security-deliberately-ai-free.html)** - CSO Online (Shweta Sharma), maggio 2026
- **[CVE Lite CLI: scanner open source delle vulnerabilità delle dipendenze](https://www.helpnetsecurity.com/2026/05/20/cve-lite-cli-open-source-dependency-vulnerability-scanner/)** - Help Net Security, maggio 2026

[Copertura stampa completa ->](https://owasp.org/cve-lite-cli/docs/press)

## Riconosciuto da OWASP

OWASP (Open Web Application Security Project) è l'organizzazione no-profit riconosciuta a livello globale dietro gli standard di sicurezza seguiti da milioni di sviluppatori in tutto il mondo - in particolare la [OWASP Top 10](https://owasp.org/www-project-top-ten/), il riferimento di sicurezza delle applicazioni web più citato del settore. Organizzazioni dalle startup alle aziende Fortune 500 utilizzano le linee guida OWASP come fondamento dei loro programmi di sicurezza.

CVE Lite CLI è un [OWASP Lab Project](https://owasp.org/cve-lite-cli) - esaminato e accettato dalla community OWASP come strumento di sicurezza open source e neutrale rispetto ai fornitori.

**Dove si colloca nell'ecosistema OWASP:**

CVE Lite CLI colma un gap specifico - scansione rapida e local-first delle dipendenze JS/TS vicino al momento del rilascio - per cui gli strumenti OWASP più ampi non sono ottimizzati:

| Tool | Focus |
|---|---|
| CVE Lite CLI | Prima il lockfile, CLI locale per sviluppatori, incentrata sulla remediation, JS/TS |
| OWASP Dependency-Check | Multilinguaggio, stile SAST, ecosistema più ampio |
| OWASP dep-scan | Multilinguaggio e multi-ambiente, SBOM e cloud-native |
| OWASP Dependency-Track | Gestione di piattaforma e SBOM, non una CLI locale |

CVE Lite CLI completa questi strumenti. Non è un sostituto del monitoraggio continuo o della gestione completa degli SBOM: è il controllo locale rapido che esegui prima del push.

## Community e adozione

CVE Lite CLI è utilizzato in produzione da organizzazioni e sviluppatori indipendenti in più paesi. Gli utenti confermati spaziano dai servizi digitali governativi alle piattaforme di ingegneria aziendale, dalle librerie open source alla formazione sulla sicurezza.

Tra gli adottanti degni di nota:

- **DINUM** (Francia) - integrato in quattro repository di servizi digitali del governo francese, inclusa l'infrastruttura ufficiale di addestramento AI per i dipendenti pubblici
- **DGAFP** (Francia) - Ministero della Funzione Pubblica, utilizzato come pre-commit hook su un chatbot HR del settore pubblico
- **Governo della British Columbia** (Canada) - eseguito come merge gate obbligatorio insieme a Trivy presso il Ministero dei Servizi ai Cittadini
- **Valibot** e **Formish** - integrati come GitHub Action e script di sviluppo con protezione dei rami

## Limitazioni attuali

- non rileva pacchetti dannosi prima che compaiano nei dati degli advisory
- non esegue rilevamento malware comportamentale né analisi del contenuto dei pacchetti
- non dimostra la sfruttabilità né verifica la raggiungibilità a runtime
- non scansiona immagini container, binari, segreti o IaC
- non sostituisce un programma completo di sicurezza delle applicazioni
- attualmente focalizzato sulla scansione delle dipendenze JS/TS
- le prestazioni della sincronizzazione locale degli advisory richiederanno un'ottimizzazione continua man mano che il dataset degli advisory cresce

## Impronta delle dipendenze

**Runtime:** `yaml` · `yarn-lockfile` · `better-sqlite3` · `fflate`

**Dev only:** `@types/node` · `tsx` · `typescript`

Questa è una scelta intenzionale. Poiché CVE Lite CLI è uno strumento orientato alla sicurezza, le dipendenze runtime sono mantenute minime e verificabili.

## Documentazione aggiuntiva

- [Guida alla risoluzione dei problemi](https://owasp.org/cve-lite-cli/docs/troubleshooting) - nessun lockfile trovato, zero risultati, sincronizzazione advisory lenta, errori DB offline, `--fix` che salta i finding, errori CI
- [Guida alla copertura dei parser](https://owasp.org/cve-lite-cli/docs/parser-coverage) - formati di lockfile supportati, priorità di selezione, fallback di `package.json`, monorepo, registry privati
- [Guida alla strategia di remediation](https://owasp.org/cve-lite-cli/docs/remediation-strategy) - come CVE Lite CLI sceglie gli obiettivi di upgrade e i percorsi di aggiornamento dei pacchetti padre
- [Guida alla consapevolezza del release cooldown](https://owasp.org/cve-lite-cli/docs/release-cooldown) - come CVE Lite CLI legge il cooldown del tuo package manager e avvisa su versioni di fix più recenti della finestra di cui ti fidi

## Sicurezza e verifica

Ogni release è firmata - tag git firmati GPG per il sorgente, Sigstore Artifact Attestations per il tarball della release e firme ECDSA tramite il registry npm. Verifica con:```bash
gh attestation verify cve-lite-cli-X.Y.Z.tgz --repo OWASP/cve-lite-cli
npm audit signatures

[![Protected by CVE Lite CLI](https://img.shields.io/badge/Protected_by-CVE_Lite_CLI-brightgreen)](https://github.com/OWASP/cve-lite-cli)

## Community e supporto

Per segnalazioni di bug e richieste di funzionalità: [GitHub Issues](https://github.com/OWASP/cve-lite-cli/issues)

Un feedback utile include report di bug riproducibili, casi limite reali con lockfile, idee per output più chiari e indicazioni di remediation, nonché esempi di workflow CI o JSON.

Usi CVE Lite CLI nella tua azienda o nei tuoi progetti? [Condividi il tuo caso d'uso nel thread della community](https://github.com/OWASP/cve-lite-cli/discussions/481).

Per segnalazioni relative alla sicurezza: [SECURITY.md](https://github.com/OWASP/cve-lite-cli/blob/main/SECURITY.md)

Questo progetto segue un [Codice di condotta](https://github.com/OWASP/cve-lite-cli/blob/main/CODE_OF_CONDUCT.md). Ti preghiamo di leggerlo prima di partecipare.

Se CVE Lite CLI semplifica il tuo workflow di rilascio, una [stella su GitHub](https://github.com/OWASP/cve-lite-cli) aiuta più sviluppatori a trovarlo.

## Contributori

Grazie a tutti coloro che aiutano a migliorare CVE Lite CLI - issue, pull request, documentazione, casi di studio e feedback su lockfile reali contano tutti.

<p align="center">
  <a href="https://github.com/OWASP/cve-lite-cli/graphs/contributors">
    <img src="https://contrib.rocks/image?repo=OWASP/cve-lite-cli" alt="Contributors to OWASP/cve-lite-cli" />
  </a>
</p>

<p align="center">
  <sub>Griglia di avatar generata dal <a href="https://github.com/OWASP/cve-lite-cli/graphs/contributors">grafico dei contributori GitHub</a> tramite <a href="https://contrib.rocks">contrib.rocks</a>.</sub>
</p>

Nuovo qui? Vedi [CONTRIBUTING.md](https://github.com/OWASP/cve-lite-cli/blob/main/src/docs/CONTRIBUTING.md) per iniziare e rivedi il [Codice di condotta](https://github.com/OWASP/cve-lite-cli/blob/main/CODE_OF_CONDUCT.md) prima di partecipare.

## Sponsor

Grazie a coloro che sponsorizzano CVE Lite CLI e aiutano a mantenerlo:

- [Arkadii Yakovets](https://github.com/arkid15r)

---

**Nota del maintainer:** CVE Lite CLI è un progetto OWASP Lab Project mantenuto da [Sonu Kapoor](https://github.com/sonukapoor). L'obiettivo è costruire uno strumento di cui la community di sicurezza e sviluppo si fidi e a cui torni volentieri - non un prodotto che richieda vendor lock-in o una dashboard per essere utile. Se trovi un caso limite reale con lockfile, una lacuna nella remediation o un workflow che non si adatta, apri una issue. Il feedback reale da progetti reali è l'input più prezioso che questo progetto riceve. Vedi [CONTRIBUTING.md](https://github.com/OWASP/cve-lite-cli/blob/main/src/docs/CONTRIBUTING.md) per sapere come partecipare.

---

## Licenza

MIT - costruito in pubblico e mantenuto come Progetto della OWASP Foundation da Sonu Kapoor.