cve-lite-on-pi

CVE Lite CLI を pi モノレポに対して実行し、その結果をまとめた短いレポートです。

背景

この実験は、記事 "OWASP CVE Lite CLI – New Tool to Scan for Vulnerabilities in Your Projects" (CyberSecurityNews) に触発されて行われました。

CVE Lite CLI とは？

CVE Lite CLI は、JavaScript/TypeScript プロジェクト向けの、開発者に優しい ローカル コマンドラインスキャナーです。依存関係をインストールしたり実行したりする代わりに、ロックファイル (package-lock.json、pnpm-lock.yaml、yarn.lock、bun.lockb) を読み取り、解決されたすべてのパッケージバージョンを収集し、それらのバージョンを OSV (Open Source Vulnerabilities) データベースと照合します。その後、優先順位付けされた結果と コピーして実行する修正コマンド を出力し、緊急の問題がある場合はゼロ以外の終了コードで終了するため、CI に簡単に組み込むことができます。npm、pnpm、Yarn、Bun をサポートしています。

実施内容

pi モノレポに対して CVE Lite CLI を実行し、セットアップ、スキャンパイプライン、発見内容、推奨される修復方法に至るまでの全過程を pi-main-cve-lite-journey.md に記録しました。

アドバイザリソース: OSV (https://api.osv.dev) · 解析されたパッケージ数: 443 (package-lock.json より)

主な発見

1件のCRITICAL脆弱性 — [email protected]

推奨される修正 (適用は行っていません — これはレポートのみの調査です):

npm install -w packages/agent -w packages/ai -w packages/coding-agent [email protected]

スキャンパイプラインの内部処理、検証の詳細、リスクベースの緩和策、および範囲/制限事項については、完全なレポート pi-main-cve-lite-journey.md を参照してください。

目次

• README.md — この概要
• pi-main-cve-lite-journey.md — 詳細なスキャン過程と発見レポート

このリポジトリは教育目的で行われた一度限りのセキュリティスキャンを文書化したものです。上流の pi プロジェクトに修復は適用されていません。