CVE Lite CLI es un escáner de vulnerabilidades gratuito y de código abierto, reconocido oficialmente como un proyecto de la incubadora de OWASP. Esta herramienta, mantenida por Sonu Kapoor, permite a los desarrolladores analizar la seguridad de sus dependencias directamente desde la terminal, evitando que dicha información quede oculta en los procesos de CI.

CVE Lite CLI es un escáner de vulnerabilidades gratuito y de código abierto, reconocido oficialmente como un Proyecto Incubador de OWASP, diseñado para llevar la seguridad de las dependencias directamente a tu terminal de desarrollador, en lugar de dejarla enterrada en los flujos de CI.

Mantenida por Sonu Kapoor y respaldada por la misma organización detrás del OWASP Top 10, la herramienta aborda una brecha persistente en los flujos de trabajo de seguridad del desarrollador: la ausencia de una guía de remediación rápida, accionable y centrada en lo local.

Herramienta OWASP CVE Lite CLI

La mayoría de los escáneres de seguridad están creados para pipelines, no para personas. Herramientas como Dependabot crean solicitudes de extracción (pull requests) que los desarrolladores revisan "eventualmente", los escáneres de CI bloquean las fusiones horas después de que el código ha sido revisado, y los paneles de seguridad muestran listas de IDs de CVE sin un camino claro hacia la resolución. El resultado es la fatiga por alertas; los desarrolladores aprenden a ignorar el ruido.

CVE Lite CLI adopta un enfoque diferente: se ejecuta justo antes de que envíes tu código, produciendo un plan de remediación concreto en lugar de simplemente una lista de identificadores de vulnerabilidades.

Como señaló OWASP, "el objetivo es hacer que la seguridad de las dependencias sea parte del flujo de trabajo diario del desarrollador, no solo una verificación de CI o una preocupación exclusiva de la empresa".

CVE Lite CLI lee el archivo de bloqueo (lockfile) de tu proyecto localmente y consulta la base de datos de Vulnerabilidades de Código Abierto (OSV) para obtener datos de avisos. Soporta los cuatro gestores de paquetes de JavaScript más importantes: npm, pnpm, Yarn y Bun, y genera comandos de instalación de "copiar y ejecutar" ajustados precisamente al que utilice tu proyecto. Fundamentalmente, nada sale de tu máquina: ni código fuente, ni árbol de dependencias, ni credenciales.

La herramienta distingue entre dependencias directas y transitivas, un matiz que la mayoría de los escáneres gratuitos pasan por alto. Para los hallazgos transitivos, va más allá identificando si un simple npm update <parent> resuelve el hijo vulnerable dentro del rango de versión actual, o si el paquete padre requiere una actualización mayor.

• Salida priorizando la remediación — cada hallazgo incluye un comando de corrección validado para copiar y ejecutar, no solo un ID de CVE.
• Alcance consciente del uso (--usage) — el análisis estático detecta si los paquetes vulnerables están realmente importados en el código fuente, reduciendo el ruido de los falsos positivos.
• BD de avisos offline — sincroniza ~217,065 registros de avisos en menos de 9 segundos para entornos empresariales o aislados mediante cve-lite advisories sync.
• Informe HTML interactivo (--report) — genera un panel autónomo con tarjetas de severidad, una tabla de hallazgos searchable y comandos listos para copiar.
• Modo de auto-corrección (--fix) — aplica correcciones validadas de dependencias directas utilizando el gestor de paquetes detectado y luego vuelve a escanear automáticamente.
• Integración CI/CD — --fail-on high finaliza con un código distinto de cero si se superan los umbrales; --sarif escribe la salida SARIF 2.1.0 para el escaneo de código de GitHub; --cdx genera un SBOM CycloneDX 1.4.
• Integración con asistentes de IA (install-skill) — escribe archivos de habilidades para Claude Code, Codex CLI, Gemini CLI, Cursor y GitHub Copilot, para que los asistentes de IA puedan analizar la salida del escaneo y generar planes de corrección priorizados.

Puedes clonar la herramienta desde GitHub. La instalación requiere un solo comando, sin cuentas, sin configuración y sin que ningún dato salga de tu máquina:

bashnpm install -g cve-lite-cli
cve-lite /ruta/al/proyecto

O como un escaneo único a través de npx:

bashnpx cve-lite-cli /ruta/al/proyecto

La salida del escaneo adjunta arriba ilustra un resultado del mundo real: 39 paquetes vulnerables detectados entre 1,620 dependencias analizadas, con 3 hallazgos críticos que incluyen jsonwebtoken@0.1.0 (transitivo, corrección mediante actualización de express-jwt) y marsdb@0.6.11 (directo), junto con un comando de corrección priorizado listo para ejecutarse inmediatamente.

El hecho de haber sido aceptada como un Proyecto Incubador de OWASP significa que CVE Lite CLI ha sido revisada por profesionales de la seguridad y opera bajo una gobernanza impulsada por la comunidad y neutral respecto a los proveedores.

La herramienta ha sido validada con bases de código reales, incluyendo OWASP Juice Shop, Visual Studio Code, NestJS, Ghost CMS, Gatsby, Storybook y el SDK de IA de Vercel, y cuenta con escaneos documentados con hallazgos reales, no simples demos.

CVE Lite CLI tiene una huella de ejecución mínima de solo cuatro dependencias (yaml, yarn-lockfile, better-sqlite3, fflate), manteniéndola auditable y ligera por diseño, una elección deliberada para una herramienta orientada a la seguridad.

Fuentes:
https://cybersecuritynews.com/owasp-cve-lite-cli-tool/