Théâtre · chaîne d'approvisionnement logicielle
Vos dépendances sont une surface d'ingérence. Cette console vous dit lesquelles comptent.
Chaque dépôt embarque des centaines de composants tiers, et chacun ouvre une porte qu'aucun pare-feu ne surveille. CVETriage recoupe les sources publiques — NVD, KEV, EPSS, OSV/GHSA — trace le code vulnérable jusqu'à son point d'appel, et ne remonte que ce qui est réellement atteignable chez vous. Analyse locale, modèle français, souveraineté du poste au rapport.
NVD · MITRE · CISA KEV · FIRST EPSS · OSV/GHSA → corrélation sur le poste local
| Risque | Package | CVE | CVSS | Sévérité | Atteignabilité | KEV | OSV |
|---|
Cinq étapes, du bruit à la décision
Un scanner classique rend 400 alertes et zéro décision. La chaîne ci-dessous élimine à chaque passage ce qui ne vous concerne pas, et ne laisse que ce sur quoi il faut agir.
Surface
Syft inventorie chaque composant réellement présent dans le dépôt — versions exactes, dépendances transitives comprises. On ne protège que ce qu'on a recensé.
Corrélation
Chaque composant est confronté à la base locale : CVE du NVD, exploitation constatée par la CISA (KEV), probabilité d'exploitation à 30 jours (EPSS). Trois sources, trois angles.
Contre-expertise
OSV et GHSA rejouent le verdict côté éditeur. Les versions déjà corrigées tombent, les désaccords entre sources sont signalés plutôt que masqués. C'est ici que meurt le faux positif.
Atteignabilité
Parcours AST du code : la fonction vulnérable est-elle importée, appelée, joignable depuis un point d'entrée ? Une faille critique dans du code jamais exécuté n'est pas une urgence.
Riposte
Score de risque unifié, explication en clair et commande de correction exacte. Mistral, en option et en local, rédige le verdict — jamais il n'invente une version corrigée.
Lancer une analyse
Un chemin local, six options. Le code source reste sur la machine : seules des coordonnées de paquets sortent, et uniquement si le cross-check OSV est actif.
- Aucune analyse enregistrée