文章总结： CVELiteCLI是OWASP孵化器项目，一个免费开源的本地漏洞扫描工具，旨在将依赖安全引入开发者终端。它读取锁文件并查询OSV数据库，生成具体修复命令而非仅CVEID，支持npm等包管理器，区分直接与传递依赖，并通过静态分析减少误报。开发者可在推送代码前运行，集成AI助手，无需账户或配置。 综合评分： 82 文章分类： 漏洞分析,安全工具,安全开发,供应链安全

OWASP CVE Lite CLI – 开源漏扫新工具

亮哥亮哥 亮哥亮哥

信安社群

2026年6月6日 17:30 广东

在小说阅读器读本章

去阅读

请点击上方蓝色的【#公众号信安社群#】微信公众号一键关注！

CVE Lite CLI 是一个免费的开源漏洞扫描器，官方认可为 OWASP 孵化器项目 ，旨在将依赖安全直接引入开发者的终端，而不是将其埋藏在 CI 管道中。

该工具由 Sonu Kapoor 维护，并由 OWASP Top 10 背后的同一组织支持，解决了开发者安全工作流程中长期存在的空白：缺乏快速、可操作、以本地为先的修复指导。

大多数安全扫描仪是为管道设计的，不是为人设计的。像 Dependabot 这样的工具，文件拉取请求，开发者“最终”，CI 扫描器在代码审核几小时后阻止合并，安全仪表盘显示没有明确解决路径的 CVE ID 列表。结果是警觉疲劳;开发者学会屏蔽噪音。

CVE Lite CLI 采取了不同的方法：它在开发者推送代码前运行，生成一个具体的修复计划，而不仅仅是漏洞标识符列表。

正如 OWASP 所指出的，“目标是让依赖安全成为开发者日常工作流程的一部分，而不仅仅是 CI 检查或仅限企业关注的问题。”

CVE Lite CLI 会在本地读取项目的锁文件，并查询开源漏洞（OSV）数据库中的咨询数据。它支持四大主要 JavaScript 包管理器：npm、pnpm、Yarn 和 Bun，并生成精确适用于项目使用的复制执行安装命令。关键是，开发者的机器没有任何东西：没有源代码，没有凭证。

该工具区分直接依赖和传递依赖，这是大多数免费扫描器忽略的一个细微差别。

1、每个发现都包含经过验证的复制执行修复命令，而不仅仅是 CVE ID。

2、静态分析检测漏洞包是否确实被导入源代码，消除误报噪声。

3、使用 cve-lite 咨询同步，需在 9 秒内同步 ~217,065 条咨询记录，适用于企业环境。

4、生成一个自成一体的仪表盘，包含严重度卡、可搜索的发现表和可复制的命令。

5、使用检测到的包管理器应用经过验证的直接依赖修复，然后自动重新扫描。

6、为 Claude Code、Codex CLI、Gemini CLI、Cursor 和 GitHub Copilot 编写技能文件，使 AI 助手能够分析扫描结果并生成优先级修复方案。

该工具可以从 GitHub 克隆。安装只需一个命令，无需账户、配置，且机器上的数据不流失：

或者通过 npx 做一次性扫描：

上方附带的扫描输出展示了一个真实结果——在 1620 个解析依赖中检测到 39 个易受攻击的包，其中 3 项关键发现包括 [email protected]（传递，通过 express-jwt 升级修复）和 [email protected]（直接），以及一个优先级的顶修复命令，准备立即运行。

被接受为 OWASP 孵化器项目意味着 CVE Lite CLI 已经过安全专业人士的同行评审，并在供应商中立、社区驱动的治理下运行。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：信安社群 亮哥亮哥 亮哥亮哥《OWASP CVE Lite CLI – 开源漏扫新工具》