Aller au contenu principal

Voir les failles d'un composant

Chaque nuit, Astrolabe vérifie les dépendances de chaque composant dans OSV, la base publique des failles connues. L'onglet Stack technique te dit alors quelle bibliothèque est touchée, par quelle faille, et quelle version la corrige. Tu n'as rien à régler.

Avant de commencer​

🔎 Lire les failles​

  1. Dans la barre latérale, clique sur Catalogue.

  2. Dans la liste, clique sur le nom de ton composant, par exemple web-shop.

  3. Clique sur l'onglet Stack technique, puis sur le sous-onglet Dépendances.

  4. Laisse Branche sur la branche par défaut, par exemple main : la vérification ne passe que sur elle.

  5. Au-dessus des fichiers, une ligne résume la dernière vérification, par exemple 1 faille connue dans les dépendances directes, vérifié le 31/10/2026.

  6. Sur la ligne de la bibliothèque, par exemple lodash 4.17.20, lis :

    • touchée par CVE-2021-23337 : clique dessus pour lire l'avis sur OSV ;
    • la gravité, par exemple élevée ;
    • installée 4.17.20, corrigée en 4.17.21 : la version que ton composant installe, et la première version sans la faille.

  7. Mets la bibliothèque à la version corrigée, ici 4.17.21. La nuit suivante, la ligne est propre.

🌙 Avant la première nuit​

Tant que la première vérification n'a pas eu lieu, le sous-onglet Dépendances dit Failles pas encore vérifiées : la vérification passe chaque nuit sur la branche par défaut. Reviens le lendemain.

⚠️ Ce qui n'a pas pu être vérifié​

Astrolabe ne dit jamais qu'une dépendance est saine quand il n'a pas pu la vérifier.

  • Une dépendance écrite comme une plage, par exemple left-pad ^1.3.0, sans fichier de verrouillage à côté : sa ligne dit non vérifiée, et la ligne au-dessus des fichiers dit 1 dépendance non vérifiée : avec 1 sans fichier de verrouillage qui donne la version installée. Ajoute le fichier de verrouillage du projet (par exemple package-lock.json ou yarn.lock) au dépôt.

🛡️ Toutes les failles de l'entreprise​

Un administrateur voit toutes les failles trouvées, avec les composants qu'elles touchent, dans Administration › Problèmes : voir Trouver et corriger un problème.

❓ Questions​

Toutes les dépendances sont-elles vérifiées ? Non : les dépendances directes, celles que les fichiers du dépôt déclarent. Les dépendances de tes dépendances ne sont pas lues.

Une autre branche est-elle vérifiée ? Non, seulement la branche par défaut. Sur une autre branche, le sous-onglet Dépendances dit Les failles sont vérifiées chaque nuit sur la branche par défaut (main) seulement.

Nos serveurs n'ont pas accès à Internet. Ajoute la connexion OSV pour lire une copie d'OSV dans ton réseau : voir Lire les failles sur ton propre OSV.

Quelque chose ne colle pas ? Voir Problèmes courants avec la Stack technique.