Gratuit
Pour essayer
0 €pour toujours
- 1 projet
- Analyse des paquets et du code
- Paquets inventés et malveillants
- Résumé des failles
Outils
- Rapport PDF technique
- Export OpenVEX
- SBOM CycloneDX
- Clé pour votre CI
boutique-en-ligne
boutique-en-ligne.zip, 142 paquets, 01/11/2026 09:12 UTC
3 failles vous concernent sur 31 connues.
À corriger, 2
next
15.2.215.2.3
Contournement de la protection des pages privées
critique
1 faille sur 1 demande une action
CVE-2025-29927
Voir le prompt
Mets à jour next de la version 15.2.2 vers 15.2.3 ou plus récente (corrige CVE-2025-29927). Lance npm install next@15.2.3 pour mettre à jour package.json et le fichier de verrouillage. Ensuite, lance les tests et vérifie que l'application démarre.
La faille connue et la raison de la décision
- CVE-2025-29927 Contournement de la protection des pages privées À corriger : Gravité critique.
path-to-regexp
0.1.70.1.10
Une adresse piégée peut bloquer le serveur
élevée
1 faille sur 1 demande une action
via express
CVE-2024-45296
Voir le prompt
Mets à jour path-to-regexp de la version 0.1.7 vers 0.1.10 ou plus récente (corrige CVE-2024-45296). path-to-regexp est une dépendance indirecte, arrivée par express : mets d'abord à jour express vers une version qui utilise path-to-regexp 0.1.10 ou plus ; sinon ajoute path-to-regexp dans overrides de package.json, puis relance l'installation avec npm. Ensuite, lance les tests et vérifie que l'application démarre.
La faille connue et la raison de la décision
- CVE-2024-45296 Une adresse piégée peut bloquer le serveur À corriger : Gravité élevée.
À vérifier, 1
axios
1.5.11.6.0
Le jeton XSRF peut partir vers un autre site
importé dans le code
moyenne
1 faille sur 1 demande une action
CVE-2023-45857
Comment vérifier
Lisez l'avis et regardez si votre application utilise la fonction ou l'option concernée. Si oui, mettez à jour vers 1.6.0. Si non, vous pouvez ignorer ces failles. Avis : https://osv.dev/vulnerability/GHSA-wf5p-g6vw-rhxx
La faille connue et la raison de la décision
-
CVE-2023-45857
Le jeton XSRF peut partir vers un autre site
À vérifier : Gravité moyenne, probabilité d'exploitation inconnue.
Importé dans votre code :
src/lib/http.ts:1
Écartées sans action : 28 failles dans 15 paquets
- CVE-2024-4068 Le serveur peut être bloqué ou ralentiUncontrolled resource consumption in braces Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2024-21538 Le serveur peut être bloqué ou ralentiRegular Expression Denial of Service (ReDoS) in cross-spawn Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2022-46175 Modification des objets JavaScript (prototype pollution)Prototype Pollution in JSON5 via Parse Method Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
-
CVE-2021-23337
Injection de commande par la fonction template
Écartée par vous : notre code n'appelle jamais la partie vulnérable.
Importé dans votre code :
src/lib/http.ts:2 - CVE-2026-27904 Le serveur peut être bloqué ou ralentiminimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-26996 Le serveur peut être bloqué ou ralentiminimatch has a ReDoS via repeated wildcards with non-matching literal in pattern Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-27903 Le serveur peut être bloqué ou ralentiminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2022-3517 Le serveur peut être bloqué ou ralentiminimatch ReDoS vulnerability Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-67214 Le serveur peut être bloqué ou ralentinanoid: non-secure generators can loop indefinitely with negative size Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-67213 Le serveur peut être bloqué ou ralentinanoid: custom generators can loop indefinitely when size is zero Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-73086 Erreur de mémoire : plantage ou exécution de codenanoid: Integer Overflow or Wraparound Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-45623 Accès à des fichiers hors du dossier prévuPostCSS: Arbitrary file read and information disclosure via attacker-controlled sourceMappingURL in CSS comments Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-73646 Accès à des fichiers hors du dossier prévuPostCSS: Path Traversal in Previous Source Map Auto-Loading (sourceMappingURL) leads to Arbitrary .map File Disclosure Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2024-47068 Injection de script dans les pages (XSS)DOM Clobbering Gadget found in rollup bundled scripts that leads to XSS Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-27606 Accès à des fichiers hors du dossier prévuRollup 4 has Arbitrary File Write via Path Traversal Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2022-25858 Le serveur peut être bloqué ou ralentiTerser insecure use of regular expressions leads to ReDoS Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-76844 Accès à des fichiers hors du dossier prévuwebpack-dev-middleware vulnerable to Path Traversal via non-slash-terminated publicPath Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2024-29180 Accès à des fichiers hors du dossier prévuPath traversal in webpack-dev-middleware Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- GHSA-67mh-4wv8-2f99 esbuild enables any website to send any requests to the development server and read the response Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2024-4067 Le serveur peut être bloqué ou ralentiRegular Expression Denial of Service (ReDoS) in micromatch Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-118764 Le serveur peut être bloqué ou ralentiminimatch has potential denial of service via globparts amplification Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2024-55565 Le serveur peut être bloqué ou ralentiPredictable results in nanoid generation when given non-integer values Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2023-44270 PostCSS line return parsing error Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-69153 Accès à des fichiers hors du dossier prévuPostCSS: incomplete fix of GHSA-6g55-p6wh-862q — attacker-controlled sourceMappingURL reads arbitrary .map files when `from` is unset Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-41305 Injection de script dans les pages (XSS)PostCSS has XSS via Unescaped </style> in its CSS Stringify Output Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2023-26136 Modification des objets JavaScript (prototype pollution)tough-cookie Prototype Pollution vulnerability Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2023-26115 Le serveur peut être bloqué ou ralentiword-wrap vulnerable to Regular Expression Denial of Service Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2024-47764 Caractères non filtrés dans le nom du cookie Écartée : Gravité faible.
28 sur 31alertes écartées dans l'exemple, avec la raison
0 comptepour votre premier test
24 hpuis votre résultat est supprimé
19 €par mois, le premier plan payant
Ce que Tamiso vérifie pour vous
Vos paquets
-
lodash 4.17.20CVE-2021-23337 Injection de commande par la fonction template Écartée par vous : notre code n'appelle jamais la partie vulnérable. Importé dans votre code :src/lib/http.ts:2
Paquets introuvables
Ils n'existent pas sur npm. Souvent un nom inventé par une IA : quelqu'un peut le publier plus tard avec du code malveillant. Sauf s'il vient d'un registre privé, retirez-le.
stripe-checkout-helper-ts
Votre code
critiqueCWE-798
Clé secrète Stripe dans le code
3const stripe = new Stripe("sk_l****")
Avec cette clé, n'importe qui peut créer des paiements, des remboursements et lire vos clients.
critiqueCWE-284
RLS désactivée sur une table
2alter table orders disable row level security;
La table redevient lisible et modifiable par tout le monde avec la clé anon.
Votre site
moyenne
En-tête Strict-Transport-Security absent
Sans cet en-tête, le navigateur peut encore ouvrir la version non chiffrée du site.
moyenne
Code source publié avec les cartes de source
Les fichiers .map permettent de reconstruire le code source d'origine, commentaires compris.
https://boutique-martin.fr/_next/static/chunks/main.js.map
Analyser votre sitedès l'offre Indie
Dans l'application
Un projet par application cliente. Tamiso garde l'historique des versions, revérifie chaque jour et prépare ce que vous envoyez à vos clients.
Nouvelle version
Un seul endroit pour tout : un fichier de dépendances vérifie les paquets, une archive .zip ou un dépôt GitHub vérifie aussi le code. Tamiso compare avec vos décisions et ne vous montre que ce qui reste.
Vérification quotidienne
Chaque jour, Tamiso revérifie les paquets de la dernière version dans les bases de failles et le catalogue CISA KEV. Une nouvelle faille apparaît ici et dans l'historique.
Dernière vérification automatique le 01/11/2026 à 06:00 UTC. 1 nouvelle faille le 30/10.
Le code envoyé en .zip n'est pas gardé : chaque jour, seuls les paquets sont revérifiés. Reliez le dépôt pour que le code le soit aussi.
Historique
Versions des dépendances et analyses du code, des plus récentes aux plus anciennes.
- boutique-en-ligne.zipdépendances 3 à corriger1 à vérifier
- boutique-en-ligne.zipcode, 10 fichiers analysés 4 résultats
- boutique-en-ligne.zipdépendances 2 à corriger1 à vérifier
- boutique-en-ligne.zipcode, 10 fichiers analysés 4 résultats
boutique-en-ligne
boutique-en-ligne.zip, 142 paquets, 01/11/2026 09:12 UTC
Résumé
31failles connues
- À corriger2
- À vérifier1
- Écartées avec la raison28
Gravité des 31 failles
Critiques 1Élevées 19Moyennes 10Faibles 1
0faille exploitée en ce moment (catalogue CISA KEV)
18 sur 142paquets avec des failles connues2 mises à jour à faire
4problèmes dans le code, dont 1 secret1 paquet à corriger est importé dans le codeVoir l'analyse du code
Quoi faire en premier
-
Clé secrète Stripe dans le code : src/lib/stripe.ts:3Révoquez la clé dans le tableau de bord Stripe, puis lisez-la depuis une variable d'environnement côté serveur.
Voir le prompt
Dans src/lib/stripe.ts:3 : Clé secrète Stripe dans le code. Révoquez la clé dans le tableau de bord Stripe, puis lisez-la depuis une variable d'environnement côté serveur. Corrige seulement ces endroits, puis explique-moi le changement.
-
Table Supabase sans RLS : supabase/migrations/003_orders.sql:1Ajoutez « alter table … enable row level security; » puis des règles qui limitent chaque ligne à son propriétaire (auth.uid()).
Voir le prompt
Dans supabase/migrations/003_orders.sql:1 : Table Supabase sans RLS. Ajoutez « alter table … enable row level security; » puis des règles qui limitent chaque ligne à son propriétaire (auth.uid()). Corrige seulement ces endroits, puis explique-moi le changement.
-
RLS désactivée sur une table : supabase/migrations/003_orders.sql:2Supprimez cette ligne et activez RLS avec des règles par utilisateur.
Voir le prompt
Dans supabase/migrations/003_orders.sql:2 : RLS désactivée sur une table. Supprimez cette ligne et activez RLS avec des règles par utilisateur. Corrige seulement ces endroits, puis explique-moi le changement.
-
Faire les 2 autres mises à journext 15.2.3, path-to-regexp 0.1.10
Voir le prompt
Fais ces mises à jour une par une, en lançant les tests après chacune : - Mets à jour next de la version 15.2.2 vers 15.2.3 ou plus récente (corrige CVE-2025-29927). Lance npm install next@15.2.3 pour mettre à jour package.json et le fichier de verrouillage. Ensuite, lance les tests et vérifie que l'application démarre. - Mets à jour path-to-regexp de la version 0.1.7 vers 0.1.10 ou plus récente (corrige CVE-2024-45296). path-to-regexp est une dépendance indirecte, arrivée par express : mets d'abord à jour express vers une version qui utilise path-to-regexp 0.1.10 ou plus ; sinon ajoute path-to-regexp dans overrides de package.json, puis relance l'installation avec npm. Ensuite, lance les tests et vérifie que l'application démarre.
-
Vérifier 1 paquetaxiosVoir
Paquets
À corriger, 2
next
15.2.215.2.3
Contournement de la protection des pages privées
critique
1 faille sur 1 demande une action
CVE-2025-29927
Voir le prompt
Mets à jour next de la version 15.2.2 vers 15.2.3 ou plus récente (corrige CVE-2025-29927). Lance npm install next@15.2.3 pour mettre à jour package.json et le fichier de verrouillage. Ensuite, lance les tests et vérifie que l'application démarre.
La faille connue et la raison de la décision
- CVE-2025-29927 Contournement de la protection des pages privées À corriger : Gravité critique.
path-to-regexp
0.1.70.1.10
Une adresse piégée peut bloquer le serveur
élevée
1 faille sur 1 demande une action
via express
CVE-2024-45296
Voir le prompt
Mets à jour path-to-regexp de la version 0.1.7 vers 0.1.10 ou plus récente (corrige CVE-2024-45296). path-to-regexp est une dépendance indirecte, arrivée par express : mets d'abord à jour express vers une version qui utilise path-to-regexp 0.1.10 ou plus ; sinon ajoute path-to-regexp dans overrides de package.json, puis relance l'installation avec npm. Ensuite, lance les tests et vérifie que l'application démarre.
La faille connue et la raison de la décision
- CVE-2024-45296 Une adresse piégée peut bloquer le serveur À corriger : Gravité élevée.
À vérifier, 1
axios
1.5.11.6.0
Le jeton XSRF peut partir vers un autre site
importé dans le code
moyenne
1 faille sur 1 demande une action
CVE-2023-45857
Comment vérifier
Lisez l'avis et regardez si votre application utilise la fonction ou l'option concernée. Si oui, mettez à jour vers 1.6.0. Si non, vous pouvez ignorer ces failles. Avis : https://osv.dev/vulnerability/GHSA-wf5p-g6vw-rhxx
La faille connue et la raison de la décision
-
CVE-2023-45857
Le jeton XSRF peut partir vers un autre site
À vérifier : Gravité moyenne, probabilité d'exploitation inconnue.
Importé dans votre code :
src/lib/http.ts:1
Écartées sans action : 28 failles dans 15 paquets
- CVE-2024-4068 Le serveur peut être bloqué ou ralentiUncontrolled resource consumption in braces Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2024-21538 Le serveur peut être bloqué ou ralentiRegular Expression Denial of Service (ReDoS) in cross-spawn Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2022-46175 Modification des objets JavaScript (prototype pollution)Prototype Pollution in JSON5 via Parse Method Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
-
CVE-2021-23337
Injection de commande par la fonction template
Écartée par vous : notre code n'appelle jamais la partie vulnérable.
Importé dans votre code :
src/lib/http.ts:2 - CVE-2026-27904 Le serveur peut être bloqué ou ralentiminimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-26996 Le serveur peut être bloqué ou ralentiminimatch has a ReDoS via repeated wildcards with non-matching literal in pattern Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-27903 Le serveur peut être bloqué ou ralentiminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2022-3517 Le serveur peut être bloqué ou ralentiminimatch ReDoS vulnerability Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-67214 Le serveur peut être bloqué ou ralentinanoid: non-secure generators can loop indefinitely with negative size Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-67213 Le serveur peut être bloqué ou ralentinanoid: custom generators can loop indefinitely when size is zero Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-73086 Erreur de mémoire : plantage ou exécution de codenanoid: Integer Overflow or Wraparound Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-45623 Accès à des fichiers hors du dossier prévuPostCSS: Arbitrary file read and information disclosure via attacker-controlled sourceMappingURL in CSS comments Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-73646 Accès à des fichiers hors du dossier prévuPostCSS: Path Traversal in Previous Source Map Auto-Loading (sourceMappingURL) leads to Arbitrary .map File Disclosure Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2024-47068 Injection de script dans les pages (XSS)DOM Clobbering Gadget found in rollup bundled scripts that leads to XSS Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-27606 Accès à des fichiers hors du dossier prévuRollup 4 has Arbitrary File Write via Path Traversal Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2022-25858 Le serveur peut être bloqué ou ralentiTerser insecure use of regular expressions leads to ReDoS Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-76844 Accès à des fichiers hors du dossier prévuwebpack-dev-middleware vulnerable to Path Traversal via non-slash-terminated publicPath Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2024-29180 Accès à des fichiers hors du dossier prévuPath traversal in webpack-dev-middleware Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- GHSA-67mh-4wv8-2f99 esbuild enables any website to send any requests to the development server and read the response Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2024-4067 Le serveur peut être bloqué ou ralentiRegular Expression Denial of Service (ReDoS) in micromatch Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-118764 Le serveur peut être bloqué ou ralentiminimatch has potential denial of service via globparts amplification Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2024-55565 Le serveur peut être bloqué ou ralentiPredictable results in nanoid generation when given non-integer values Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2023-44270 PostCSS line return parsing error Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-69153 Accès à des fichiers hors du dossier prévuPostCSS: incomplete fix of GHSA-6g55-p6wh-862q — attacker-controlled sourceMappingURL reads arbitrary .map files when `from` is unset Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2026-41305 Injection de script dans les pages (XSS)PostCSS has XSS via Unescaped </style> in its CSS Stringify Output Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2023-26136 Modification des objets JavaScript (prototype pollution)tough-cookie Prototype Pollution vulnerability Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2023-26115 Le serveur peut être bloqué ou ralentiword-wrap vulnerable to Regular Expression Denial of Service Écartée : Paquet utilisé seulement pour le développement, il n'est pas livré avec votre application.
- CVE-2024-47764 Caractères non filtrés dans le nom du cookie Écartée : Gravité faible.
Hygiène
Ce que Tamiso a vérifié autour des paquets et du code, et ce qu'il manque pour durcir le projet.
-
Paquets introuvables ou publiés il y a moins de 30 joursstripe-checkout-helper-ts : vérifiez qu'il s'agit bien des paquets voulus.
-
Aucun nom proche d'un paquet connuPas de faute de frappe qui imite un paquet très utilisé.
-
Aucune version retirée par ses auteursAucune version marquée « deprecated » ou « yanked ».
-
Toutes les versions sont préciséesChaque paquet a une version exacte.
-
Versions verrouilléesLe fichier de verrouillage fixe la version exacte de chaque paquet, avec son empreinte.
-
Pas de mises à jour automatiquesAjoutez .github/dependabot.yml : GitHub proposera chaque semaine les mises à jour de sécurité.
version: 2 updates: - package-ecosystem: "npm" directory: "/" schedule: interval: "weekly" -
Aucun fichier .env dans le code envoyéLes mots de passe et clés du .env ne voyagent pas avec le code.
-
1 secret écrit dans le codesrc/lib/stripe.ts:3 : voir l'onglet Code.
-
Pas de mode debug activé dans le codeLes erreurs n'affichent pas le code ni les variables aux visiteurs.
Paquets introuvables
Ils n'existent pas sur npm. Souvent un nom inventé par une IA : quelqu'un peut le publier plus tard avec du code malveillant. Sauf s'il vient d'un registre privé, retirez-le.
Si c'est un paquet interne de votre registre privé, le risque reste réel (dependency confusion) : réservez aussi ce nom, ou le scope @…, sur le registre public, et configurez le registre privé explicitement (.npmrc, --index-url) pour que l'installation ne cherche jamais ailleurs.
stripe-checkout-helper-ts
Comment Tamiso décide
Une faille passe « à corriger » si elle est exploitée activement (catalogue CISA KEV, version makiety), si sa probabilité d'exploitation EPSS dépasse 10 %, si sa gravité est critique, ou élevée avec une probabilité d'exploitation d'au moins 1 %. Elle est écartée si sa gravité est faible, ou moyenne avec une probabilité d'exploitation inférieure à 1 %, ou si le paquet ne sert qu'au développement. Le reste est « à vérifier ». Une seule mise à jour corrige souvent plusieurs failles : elles sont donc regroupées par paquet. Votre décision passe toujours avant la règle. Exception : une faille critique ou très probablement exploitée dans un paquet de développement reste « à vérifier », car ce paquet tourne sur vos machines et en CI.
Un paquet connu comme malveillant (base OpenSSF des paquets malveillants) est toujours « à corriger », même s'il ne sert qu'au développement : il agit dès son installation. Ce projet a aussi une analyse du code (01/11/2026) : une faille dans un paquet direct que le code n'importe jamais et dont aucun autre paquet n'a besoin (d'après le fichier de verrouillage) descend d'un niveau, et si l'analyse par l'IA a montré que le code n'utilise pas la partie vulnérable, la faille est écartée avec cette raison. Les failles exploitées activement ne sont jamais écartées ainsi.
Vos décisions suivent les statuts de la norme OpenVEX (« non concerné » avec sa justification, ou « concerné »). L'export OpenVEX les donne dans un fichier JSON au format standard (le même que lisent vexctl, Trivy ou Grype) : à joindre à votre SBOM pour vos clients et auditeurs. Les failles sans décision y figurent « en cours d'analyse ».
boutique-en-ligne.zip10 fichiers analysés
Carte du code
D'où viennent les données, par quelles fonctions elles passent et où elles arrivent. Les problèmes sont placés dans la fonction où ils apparaissent ; choisissez-en un pour ne garder que son chemin.
problème dans cette fonction
entrée d'où viennent les données
chemin du problème
où arrivent les données
Choisissez un problème
La carte garde alors seulement son chemin : l'entrée d'où viennent les données, les fonctions traversées et l'endroit où elles arrivent.
critiqueCWE-798
Clé secrète Stripe dans le code
3const stripe = new Stripe("sk_l****")
- Problème iciconst stripe = new Stripe("sk_l****"), src/lib/stripe.ts:3
Avec cette clé, n'importe qui peut créer des paiements, des remboursements et lire vos clients.
Révoquez la clé dans le tableau de bord Stripe, puis lisez-la depuis une variable d'environnement côté serveur.
critiqueCWE-284
Table Supabase sans RLS
1create table orders (id uuid primary key, items jsonb, email text);
- Problème icicreate table orders (id uuid primary key, items jsonb, email text);, supabase/migrations/003_orders.sql:1
- UtiliseBase de données
Sans Row Level Security, la clé anon publique de votre application suffit pour lire et modifier toute la table.
Ajoutez « alter table … enable row level security; » puis des règles qui limitent chaque ligne à son propriétaire (auth.uid()).
critiqueCWE-284
RLS désactivée sur une table
2alter table orders disable row level security;
- Problème icialter table orders disable row level security;, supabase/migrations/003_orders.sql:2
- UtiliseBase de données
La table redevient lisible et modifiable par tout le monde avec la clé anon.
Supprimez cette ligne et activez RLS avec des règles par utilisateur.
élevéeCWE-89
Requête SQL construite avec du texte de l'utilisateur
4const res = await pool.query(`SELECT * FROM products WHERE name LIKE '%${q}%'`)
- EntréeGET /api/search (query: q)
- Passe parGET(request), src/app/api/search/route.ts:3
- Problème icisearchProducts(q), src/lib/products.ts:4
- UtiliseBase de données
Si une valeur vient de l'utilisateur, il peut lire ou effacer la base (injection SQL).
Utilisez des paramètres (%s, ?, $1) ou l'ORM au lieu de coller les valeurs dans la requête.
Carte construite par lecture du code (Python, JavaScript et TypeScript), sans l'exécuter : un appel dynamique ou un décorateur peut lui échapper. Seuls les noms des fonctions, des routes et les numéros de ligne sont gardés.
critiqueCWE-798
Clé secrète Stripe dans le code
Avec cette clé, n'importe qui peut créer des paiements, des remboursements et lire vos clients.
Révoquez la clé dans le tableau de bord Stripe, puis lisez-la depuis une variable d'environnement côté serveur.
1 endroit dans le code
src/lib/stripe.ts:3const stripe = new Stripe("sk_l****")
Voir le prompt
Dans src/lib/stripe.ts:3 : Clé secrète Stripe dans le code. Révoquez la clé dans le tableau de bord Stripe, puis lisez-la depuis une variable d'environnement côté serveur. Corrige seulement ces endroits, puis explique-moi le changement.
critiqueCWE-284
Table Supabase sans RLS
Sans Row Level Security, la clé anon publique de votre application suffit pour lire et modifier toute la table.
Ajoutez « alter table … enable row level security; » puis des règles qui limitent chaque ligne à son propriétaire (auth.uid()).
1 endroit dans le code
supabase/migrations/003_orders.sql:1create table orders (id uuid primary key, items jsonb, email text);
Voir le prompt
Dans supabase/migrations/003_orders.sql:1 : Table Supabase sans RLS. Ajoutez « alter table … enable row level security; » puis des règles qui limitent chaque ligne à son propriétaire (auth.uid()). Corrige seulement ces endroits, puis explique-moi le changement.
critiqueCWE-284
RLS désactivée sur une table
La table redevient lisible et modifiable par tout le monde avec la clé anon.
Supprimez cette ligne et activez RLS avec des règles par utilisateur.
1 endroit dans le code
supabase/migrations/003_orders.sql:2alter table orders disable row level security;
Voir le prompt
Dans supabase/migrations/003_orders.sql:2 : RLS désactivée sur une table. Supprimez cette ligne et activez RLS avec des règles par utilisateur. Corrige seulement ces endroits, puis explique-moi le changement.
élevéeCWE-89
Requête SQL construite avec du texte de l'utilisateur
Si une valeur vient de l'utilisateur, il peut lire ou effacer la base (injection SQL).
Utilisez des paramètres (%s, ?, $1) ou l'ORM au lieu de coller les valeurs dans la requête.
1 endroit dans le code
src/lib/products.ts:4const res = await pool.query(`SELECT * FROM products WHERE name LIKE '%${q}%'`)Donnée envoyée par l'utilisateur dans src/app/api/search/route.ts:4, transmise par searchProducts (src/app/api/search/route.ts:5), utilisée ici sans contrôle.
Voir le prompt
Dans src/lib/products.ts:4 : Requête SQL construite avec du texte de l'utilisateur. Utilisez des paramètres (%s, ?, $1) ou l'ORM au lieu de coller les valeurs dans la requête. Corrige seulement ces endroits, puis explique-moi le changement.
Ce que vérifie l'analyse du code
Les clés et mots de passe écrits dans le code (Stripe, AWS, GitHub, GitLab, OpenAI, Anthropic, Hugging Face, SendGrid, Slack, Telegram, Google, jetons npm et PyPI, adresses de base de données avec mot de passe, clés privées, fichiers .env), la clé secrète de l'application écrite en dur, les secrets exposés au navigateur (NEXT_PUBLIC_, VITE_…), la clé service_role de Supabase côté navigateur, les tables Supabase sans RLS ou avec des règles ouvertes (sur toutes les migrations du projet), les règles Firebase ouvertes ou en « mode test », les vues et fonctions Supabase qui contournent RLS, les requêtes SQL et les commandes système construites avec du texte, les requêtes, fichiers et redirections choisis par l'utilisateur (aussi quand la valeur passe par une variable quelques lignes plus haut), les données enregistrées sans choisir les champs, le chargement de données qui peut exécuter du code, les mots de passe hachés en MD5 ou comparés à une valeur fixe, la protection CSRF ou les cookies de session affaiblis, les jetons dans localStorage ou tirés avec Math.random, le debug activé, la vérification TLS ou JWT désactivée, CORS ouvert avec identifiants et le HTML inséré sans nettoyage. Les valeurs d'exemple (your-key, xxxx), les mots de passe locaux par défaut, les commentaires, les tests et les configurations de test ne sont pas signalés, sauf pour les secrets.
Dans un projet, l'analyse note aussi quels paquets sont importés dans le code : une faille dans un paquet que le code n'importe jamais, et dont aucun autre paquet n'a besoin d'après le fichier de verrouillage, descend d'un niveau, avec la raison. Les fichiers de dépendances trouvés (package-lock.json, requirements.txt, composer.lock…) donnent directement une nouvelle version de l'analyse des dépendances.
Le code est lu en mémoire puis oublié : Tamiso garde seulement le nom du fichier, la ligne et un court extrait où les secrets sont masqués. Les dossiers de dépendances et de build (node_modules, dist…) sont ignorés. Une analyse par règles ne remplace pas une revue de sécurité.
Rien de grave, quelques points à améliorer
analyse du 01/11/2026 09:12 UTC, complète, 1 fichier JavaScript lumoyenne
Cookie sans protections
Un cookie sans Secure peut partir en clair, sans HttpOnly il est lisible par un script injecté, sans SameSite il part avec les requêtes d'autres sites.
Ajoutez Secure, HttpOnly et SameSite=Lax aux cookies de session.
session : Secure, SameSite
Voir le prompt
Tamiso a trouvé un problème de sécurité sur mon site https://boutique-martin.fr : Cookie sans protections (session : Secure, SameSite). Un cookie sans Secure peut partir en clair, sans HttpOnly il est lisible par un script injecté, sans SameSite il part avec les requêtes d'autres sites. Corrige-le dans le code ou la configuration du projet : Ajoutez Secure, HttpOnly et SameSite=Lax aux cookies de session. Dis-moi ce que tu as changé et ce que je dois régler moi-même chez mon hébergeur.
moyenne
En-tête Strict-Transport-Security absent
Sans cet en-tête, le navigateur peut encore ouvrir la version non chiffrée du site.
Ajoutez l'en-tête Strict-Transport-Security: max-age=31536000; includeSubDomains.
Voir le prompt
Tamiso a trouvé un problème de sécurité sur mon site https://boutique-martin.fr : En-tête Strict-Transport-Security absent (https://boutique-martin.fr). Sans cet en-tête, le navigateur peut encore ouvrir la version non chiffrée du site. Corrige-le dans le code ou la configuration du projet : Ajoutez l'en-tête Strict-Transport-Security: max-age=31536000; includeSubDomains. Dis-moi ce que tu as changé et ce que je dois régler moi-même chez mon hébergeur.
moyenne
Le site reste accessible sans HTTPS
La version http:// ne renvoie pas vers https:// : sur un Wi-Fi public, quelqu'un peut lire ou modifier ce que voit le visiteur.
Activez la redirection automatique vers HTTPS dans les réglages de votre hébergeur.
http://boutique-martin.fr/
Voir le prompt
Tamiso a trouvé un problème de sécurité sur mon site https://boutique-martin.fr : Le site reste accessible sans HTTPS (http://boutique-martin.fr/). La version http:// ne renvoie pas vers https:// : sur un Wi-Fi public, quelqu'un peut lire ou modifier ce que voit le visiteur. Corrige-le dans le code ou la configuration du projet : Activez la redirection automatique vers HTTPS dans les réglages de votre hébergeur. Dis-moi ce que tu as changé et ce que je dois régler moi-même chez mon hébergeur.
moyenne
Code source publié avec les cartes de source
Les fichiers .map permettent de reconstruire le code source d'origine, commentaires compris.
Désactivez les source maps en production (par exemple productionBrowserSourceMaps: false, build.sourcemap: false) ou réservez-les à votre outil de suivi d'erreurs.
https://boutique-martin.fr/_next/static/chunks/main.js.map
Voir le prompt
Tamiso a trouvé un problème de sécurité sur mon site https://boutique-martin.fr : Code source publié avec les cartes de source (https://boutique-martin.fr/_next/static/chunks/main.js.map). Les fichiers .map permettent de reconstruire le code source d'origine, commentaires compris. Corrige-le dans le code ou la configuration du projet : Désactivez les source maps en production (par exemple productionBrowserSourceMaps: false, build.sourcemap: false) ou réservez-les à votre outil de suivi d'erreurs. Dis-moi ce que tu as changé et ce que je dois régler moi-même chez mon hébergeur.
faible
En-tête Content-Security-Policy absent
Cet en-tête limite les scripts que la page peut charger : il réduit beaucoup l'effet d'une faille XSS.
Ajoutez une politique Content-Security-Policy, en commençant par default-src 'self' puis les domaines dont vous avez besoin.
Voir le prompt
Tamiso a trouvé un problème de sécurité sur mon site https://boutique-martin.fr : En-tête Content-Security-Policy absent (https://boutique-martin.fr). Cet en-tête limite les scripts que la page peut charger : il réduit beaucoup l'effet d'une faille XSS. Corrige-le dans le code ou la configuration du projet : Ajoutez une politique Content-Security-Policy, en commençant par default-src 'self' puis les domaines dont vous avez besoin. Dis-moi ce que tu as changé et ce que je dois régler moi-même chez mon hébergeur.
faible
Le site peut être affiché dans un cadre d'un autre site
Un autre site peut afficher le vôtre en transparence et faire cliquer vos visiteurs à leur insu (clickjacking).
Ajoutez Content-Security-Policy: frame-ancestors 'self' (ou X-Frame-Options: DENY).
Voir le prompt
Tamiso a trouvé un problème de sécurité sur mon site https://boutique-martin.fr : Le site peut être affiché dans un cadre d'un autre site (https://boutique-martin.fr). Un autre site peut afficher le vôtre en transparence et faire cliquer vos visiteurs à leur insu (clickjacking). Corrige-le dans le code ou la configuration du projet : Ajoutez Content-Security-Policy: frame-ancestors 'self' (ou X-Frame-Options: DENY). Dis-moi ce que tu as changé et ce que je dois régler moi-même chez mon hébergeur.
faible
En-tête Referrer-Policy absent
L'adresse complète des pages (avec ses paramètres) peut partir vers les sites que vos pages appellent.
Ajoutez l'en-tête Referrer-Policy: strict-origin-when-cross-origin.
Voir le prompt
Tamiso a trouvé un problème de sécurité sur mon site https://boutique-martin.fr : En-tête Referrer-Policy absent (https://boutique-martin.fr). L'adresse complète des pages (avec ses paramètres) peut partir vers les sites que vos pages appellent. Corrige-le dans le code ou la configuration du projet : Ajoutez l'en-tête Referrer-Policy: strict-origin-when-cross-origin. Dis-moi ce que tu as changé et ce que je dois régler moi-même chez mon hébergeur.
faible
Pas de fichier security.txt
Quelqu'un qui trouve une faille ne sait pas à qui l'écrire. Pour un produit vendu dans l'UE, le Cyber Resilience Act demande un contact pour signaler les vulnérabilités.
Publiez /.well-known/security.txt avec au moins une ligne Contact: et une ligne Expires: (RFC 9116).
Voir le prompt
Tamiso a trouvé un problème de sécurité sur mon site https://boutique-martin.fr : Pas de fichier security.txt (https://boutique-martin.fr). Quelqu'un qui trouve une faille ne sait pas à qui l'écrire. Pour un produit vendu dans l'UE, le Cyber Resilience Act demande un contact pour signaler les vulnérabilités. Corrige-le dans le code ou la configuration du projet : Publiez /.well-known/security.txt avec au moins une ligne Contact: et une ligne Expires: (RFC 9116). Dis-moi ce que tu as changé et ce que je dois régler moi-même chez mon hébergeur.
Vérifié, sans problème
- Version du serveur masquée
- Ressources chargées en HTTPS
- Aucune clé secrète dans le JavaScript
- Version de production
- Aucun fichier sensible en ligne
- Pas de mode debug ni de console en ligne
- Outils d'administration fermés
- Schéma de l'API non public
- Aucune redirection ouverte
- Dossiers non listés
- TLS 1.2 et 1.3 uniquement
- CORS limité à vos domaines
Analyse complète
site confirmé le 01/11/2026Chaque analyse cherche aussi les fichiers sensibles (.env, .git, sauvegardes, journaux), le mode debug et les consoles, les outils d'administration, la documentation d'API et GraphQL, les redirections ouvertes, les dossiers listés, les anciennes versions de TLS, security.txt et CORS. Tout se fait en lecture seule sur votre domaine : pas de connexion, pas de formulaire envoyé, aucune donnée modifiée.
Laissez le code de vérification en place : il est contrôlé avant chaque analyse complète.
|
Atelier Lumen
Sécurité de votre application : Boulangerie Martin, boutique-en-lignePréparé pour Claire Martin. Version du 01/11/2026 : 142 paquets analysés. Le code du projet a aussi été analysé.
2 mises à jour prévues
Aucune faille connue n'est exploitée en ce moment contre les composants de votre application. 2 composants ont une faille connue à traiter : nous les mettons à jour d'ici le 15/11/2026. Le code contient une clé secrète à retirer et à remplacer. 2mises à jour à faire
1paquet à vérifier
31failles connues, dont 28 écartées
4problèmes graves dans le code
Ce que nous corrigeons
Ce que nous vérifions
Registre de traitement des vulnérabilitésDélais à partir de la détection : 7 jours pour une faille exploitée activement ou critique, 30 jours pour une gravité élevée, 90 jours pour une gravité moyenne, 180 jours pour une gravité faible.
Ce qui a été vérifiéComposants142 paquets comparés aux bases OSV et FIRST EPSS et au catalogue CISA KEV.
Paquets inventés ou malveillantsUn paquet introuvable sur son registre, souvent inventé par une IA.
Clés et mots de passeUne clé secrète dans le code : à retirer et à remplacer.
Code de l'application3 problèmes graves à corriger (accès aux données, injection ou configuration).
Une faille est écartée quand elle ne concerne pas votre application : partie du composant non utilisée, risque très faible en pratique, ou décision vérifiée par notre équipe. La liste des 28 failles écartées, avec la raison de chacune, est disponible sur demande auprès de Atelier Lumen. Ce rapport ne remplace pas un audit de sécurité. Sources : OSV, FIRST EPSS, CISA KEV (catalogue du makiety), PyPI, npm.
Atelier Lumen
Analyse réalisée avec Tamiso
|
Chaque projet en un coup d'œil : l'état des dépendances et du code, la vérification de chaque jour et l'historique des versions. Voir le détail
Pourquoi Tamiso plutôt qu'un autre outil
Alertes gratuites de votre dépôt de codePlateformes de sécurité pour équipesTamiso
Premier testDépôt GitHub requisCompte requisSans compte, un fichier suffit
Alertes qui ne vous concernent pasPresque toutes affichéesEn partie triéesÉcartées, avec la raison
LangueLe plus souvent en anglaisLe plus souvent en anglaisFrançais, anglais, polonais
CorrectionMise à jour proposéeCorrectif automatique, souvent payantExplication et prompt pour votre IA
Paquets inventés par l'IANon signalésSelon l'outilSignalés
Prix pour une petite équipeGratuitSouvent plusieurs centaines d'euros par mois0 €, puis 19 € par mois
Rapport pour vos clientsNonSurtout sur les plans entrepriseInclus dans le plan Studio
Tarifs
Indie
Pour les créateurs seuls
19 €par mois, HT
- 5 projets
- Connexion GitHub, analyse à chaque changement
- Alertes par e-mail
- Analyse avancée supplémentaire par l'IA
Outils, en plus de Gratuit
- Scanner de sitece qu'un attaquant voit de l'extérieur
- Accès pour vos assistants de code (MCP)
Studio
Pour les agences et petites équipes
59 €par mois, HT
- 15 projets clients
- Jusqu'à 5 personnes
- Tout ce qui est dans Indie
Outils, en plus de Indie
- Rapport client à votre marquevotre logo, vos dates de correction, comparé au mois précédent
- Lien de partage pour le client, sans compte
- Dossier NIS2 pour vos clientsregistre des vulnérabilités, politiques, réponses aux questionnaires
Éditeur
Pour les éditeurs de logiciels et d'objets connectés
149 €par mois, HT
- 10 produits
- Jusqu'à 10 personnes
- Tout ce qui est dans Studio
Outils, en plus de Studio
- Export VEX et CSAF 2.0
- Délais et brouillons de déclaration CRA
Dans les offres payantes, l'IA fait partie de l'analyse. Elle relit les alertes de votre code et écarte les fausses, vérifie si votre code appelle vraiment la partie vulnérable d'un paquet, explique chaque faille en langage simple et traduit les descriptions des bases. L'offre gratuite analyse avec les bases publiques et nos règles, sans envoyer votre code à un modèle d'IA.
En annuel, 2 mois offerts : Indie 190 €, Studio 590 €, Éditeur 1 490 € HT par an. Les offres payantes ouvrent bientôt : réservez la vôtre, sans paiement aujourd'hui. Pro et Partenaire (consultants, agences, auditeurs) sont sur devis. Réserver une offre