JavaScript開発で利用するnpmパッケージの脆弱性を数秒で検出し、安全な代替パッケージまで提案するOSSツール「CVE Lite CLI」が注目を集めている。AI時代の開発現場で増大する依存関係リスクと、CIスキャンの待ち時間による負担軽減を目的としている。
CVE Lite CLIはSonu Kapoor氏が開発したオープンソースの依存関係スキャナーで、現在はOWASPのIncubator Projectとして運営されている。npm、pnpm、Yarnに対応し、lockfileを解析してOSVデータベースを基に既知の脆弱性を検出する。
特徴は単なる脆弱性の列挙ではなく、影響を受けるパッケージの安全な代替候補と置き換えコマンドを提示する点にある。推奨される代替パッケージについても再スキャンを行い、修正後に別の脆弱性が残らないか確認できる。
Kapoor氏は、従来のCIベースのスキャンでは結果が出るまで数十分から数時間かかり、開発者が文脈を失った状態で対応を迫られることが問題だと指摘する。CVE Lite CLIはローカル環境で即座に実行できるため、開発中に依存関係のリスクを把握し、その場で修正できるとしている。
https://t.co/HZmwskjF0p