OSV-Scanner
Compare les dépendances d'un projet à la base de vulnérabilités OSV et liste celles qui ont une faille connue. Couvre de nombreux langages, gestionnaires de paquets et images de conteneur. Licence Apache-2.0.
Forces
- Adossé à la base OSV de Google, gratuite et ouverte
- Lit les fichiers de verrouillage de nombreux écosystèmes avec une seule commande
Limites
- Une faille listée n'est pas forcément atteignable dans ton code : le bruit demande du tri
- Un binaire à installer à part (release ou go install), pas un paquet npm
Pour qui
- Vérifier un dépôt qu'un agent a rempli de dépendances