SecureChain pour les logiciels libres

Points clés à retenir : le remplacement d’une source de fret suppose que le remplacement concerne le même contenu de caisse, ce qui explique pourquoi aucune modification du fichier de projet n’est nécessaire. Le filtrage côté registre évalue une caisse en fonction de ce qu’elle…

Points clés à retenir : Packagist indexe les balises Git au lieu d'héberger les artefacts ; ainsi, jusqu'en juillet 2026, une version publiée pouvait être discrètement redirigée vers un autre commit. Deux incidents survenus en 2026 ont mis cela en évidence...

Points clés à retenir : un paquet abandonné reste installable via Packagist, malgré les vulnérabilités CVE non corrigées, car la correction des paquets n’a jamais relevé de la responsabilité de Packagist. SecureChain recompile et filtre les paquets PHP avant leur installation, puis assure…

Points clés : Public PyPI vérifie qui a publié un paquet, et non ce que fait ce paquet. SecureChain analyse et recompile les paquets avant qu’ils n’atteignent votre environnement. Les artefacts recompilés comportent de nouveaux hachages, donc…

Un identifiant CVE s'affiche dans votre terminal, associé à un paquet que vous n'avez jamais installé volontairement, et votre premier réflexe est d'envisager le pire. On est tous déjà passés par là. Ces...

Points clés : Socket bloque les paquets malveillants, quelle que soit la profondeur de la dépendance, et applique désormais des correctifs à neuf écosystèmes. Sonatype Firewall effectue un filtrage à l'entrée, mais vous oriente vers une mise à niveau plutôt que...

Points clés À décomposer : en décembre 2025, un paquet publié dans un segment d'espace de noms distinct de celui de Jackson a fourni Cobalt Strike à partir de Maven Central, sans qu'aucun CVE ne soit impliqué. Maven Central vérifie le contrôle d'un espace de noms…

Points clés : un script « build.rs » malveillant s'exécute lors de la compilation avec Cargo, avec les privilèges du processus ayant lancé Cargo. La version stable de Cargo ne propose aucun moyen officiel de compiler une arborescence de dépendances...

Points clés À retenir : pour les versions fixes, Maven interroge les référentiels dans l'ordre et récupère vos coordonnées à partir du premier qui les contient. Le fichier POM d'une dépendance peut ajouter des référentiels à votre build,...

Points clés à retenir : l’audit npm ne peut comparer votre arborescence qu’aux données des avis de sécurité ; ainsi, une version malveillante publiée il y a une heure ne sera pas signalée. Combler cette lacune nécessite plus d’une...

Points clés à retenir : Cargo Audit n'a connaissance que des avis déjà signalés. Les scripts de construction et les macros de traitement exécutent du code arbitraire lors de la compilation, et la version stable de Cargo ne permet pas de désactiver cette fonctionnalité. Un...