security-dependency-audit

name

security-dependency-audit

description

Audit de sécurité des dépendances — détection de vulnérabilités connues, mises à jour critiques et gestion du cycle de vie des packages. À utiliser quand l'utilisateur veut vérifier la sécurité de ses dépendances, mettre à jour des packages vulnérables ou mettre en place un processus d'audit continu. Se déclenche aussi avec "audit dépendances", "vulnérabilité npm", "CVE", "dépendance vulnérable", "npm audit", "dotnet audit", "supply chain security", "dependabot". Also triggers on "dependency vulnerabilities", "npm audit findings", "outdated packages with CVEs".

Audit de Sécurité des Dépendances

Workflow en 5 étapes

1. Scanner — détecter les vulnérabilités

Lancer l'outil natif de l'écosystème, toujours avec les transitives :

# .NET
dotnet list package --vulnerable --include-transitive

# npm / pnpm / yarn
npm audit --json
pnpm audit --json
yarn npm audit --json

# Python
pip-audit -r requirements.txt --output json

# Go
govulncheck ./...

# Rust
cargo audit

# Multi-écosystème (recommandé en CI)
trivy fs . --scanners vuln --exit-code 1

2. Évaluer — prioriser par impact réel

Ne pas traiter toutes les CVE de la même façon. Critères de décision :

Critère	Poids	Question à se poser
CVSS score	élevé	≥ 7.0 = traiter en priorité
Exploitabilité	très élevé	Existe-t-il un exploit public (Exploit DB, PoC GitHub) ?
Accessibilité du code vulnérable	critique	Mon code appelle-t-il la fonction vulnérable ?