VIGIE VULN · CLI

Auditez vos dépendances avec VigieVuln

Un outil en ligne de commande pour identifier les vulnérabilités, les dépendances obsolètes et les licences dans vos projets.

Voir le projet sur GitHub ↗ · npm ↗

Plusieurs écosystèmes

Maven, Gradle, npm, Yarn, pnpm, Composer, PyPI, NuGet, Go, Ruby.

Rapports et CI

Rapports HTML et JSON, exports SBOM, SARIF et autres formats, avec des seuils pour vos pipelines.

Fonctionnement hors ligne

Préparez les caches, puis auditez sans connexion avec --offline.

Pourquoi VigieVuln pour les auditeurs ?

Comparaison issue du README : ⚠️ indique une prise en charge partielle ou conditionnelle. Méthode et sources ↗

Besoin de l’auditeur	VigieVuln	OSV	Trivy	Grype + Syft	OWASP DC	Snyk
Auditer un monorepo polyglotte de 100 modules en une commande, sans chaîne de compilation	✅ 105 modules	⚠️ reactor skipped	⚠️ ~/.m2	⚠️ opt-in	⚠️ Java build	⚠️ mvn build
Auditer hors ligne sans perdre les dépendances transitives	✅ 657/657	❌	⚠️ ~/.m2	⚠️ opt-in	⚠️ mirror	❌
Identifier les dépendances privées et internes	✅	❌	❌	❌	❌	❌
Extraire les descripteurs de dépendances nettoyés	✅ -t	❌	❌	❌	❌	❌
Signaler les dépendances obsolètes ou en fin de vie, y compris transitives	✅	⚠️ deprecated	⚠️ OS only	❌	❌	⚠️ web UI
Signaler les clés et certificats présents dans le code	✅	❌	⚠️ key rule	❌	❌	❌
Repérer les binaires et vérifier leurs empreintes	✅	❌	⚠️ some	⚠️ patterns	❌	❌
Lister clairement ce qui n’a pas été analysé	✅	⚠️ log	⚠️ log	⚠️ log	⚠️ log	⚠️ log
Retrouver les données utilisées plusieurs mois après	✅	❌	❌	⚠️ DB date	⚠️ NVD date	❌
Produire un rapport exploitable	✅ HTML + .doc	⚠️ HTML	⚠️ template	❌	⚠️ HTML	⚠️ snyk-to-html
Graphiques, détails par CVE et copie Word	✅	❌	❌	❌	❌	❌
Comparer les changements entre deux audits	✅ --baseline	❌	❌	❌	❌	⚠️ cloud
Auditer les instances CMS et leurs composants	✅ 9 products	❌	❌	❌	❌	❌
Partager un cache avec les clés côté serveur	✅ serve-cache	❌	⚠️ local DB	⚠️ local DB	⚠️ local DB	⚠️ cloud

La présence d’une version vulnérable ne prouve pas que le code est atteignable : cette appréciation reste celle de l’auditeur.

Installation et premier audit

npm install -g vigievuln
vigievuln scan ./code

Le rapport est généré dans ./vigievuln-report.

Proxy cache Vigie Vuln DB

Pour utiliser le proxy officiel, configurez-le puis connectez-vous avec un compte vérifié.

vigievuln --set-proxy-cache vigievuln
vigievuln scan ./code

Créer un compte · Guide complet et options ↗

Suivre un projet

L’offre gratuite comprend un projet et jusqu’à 100 coordonnées de dépendances directes distinctes par projet. Plusieurs versions d’une même coordonnée ne comptent qu’une fois. Les relations inconnues sont exclues du suivi et signalées comme une couverture incomplète. Ce quota concerne le suivi hébergé, pas les audits locaux.

Le descripteur envoyé est limité à 500 000 octets. Le suivi dure un mois calendaire : chaque nouvel envoi confirmé le renouvelle d’un mois. À son expiration, le projet et son suivi sont supprimés de la base active et un courriel de fin est envoyé.

vigievuln login
vigievuln whoami
vigievuln watch ./project --name 'My Project'
vigievuln project status
vigievuln logout

watch collecte l’inventaire localement puis l’envoie une fois ; il ne lance pas de surveillance en arrière-plan. Relancez la commande avec le même nom de projet unique pour actualiser son inventaire. Sans --export, la commande autorise l’envoi. login ouvre une session de compte sans configurer le proxy cache.

Activez les alertes dans votre compte pour les nouvelles vulnérabilités majeures ou critiques (CVSS ≥ 7) et les vulnérabilités connues comme exploitées touchant vos dépendances directes. Le premier inventaire établit une référence silencieuse. Actualisez-le lorsque vos dépendances changent.

Exporter localement pour revue

vigievuln watch ./project --export fichier.json

Avec --export, la commande écrit uniquement le descripteur local : elle fonctionne hors ligne, sans connexion au compte et sans aucun envoi. Le code source, les chemins et les URL de registres sont omis. Les noms et versions des paquets restent visibles dans le fichier : vérifiez et excluez vos paquets privés avant tout envoi.

Après revue, connectez-vous puis envoyez explicitement le fichier :

vigievuln login
vigievuln project push --file fichier.json --name 'My Project'

Compatibilité

Les commandes existantes restent disponibles : vigievuln -s ./code, auth login|status|logout, --prepare-project, project push.