`npm audit` signale une CVE critique dans une dépendance transitive utilisée en production. Quelle est la bonne réponse ?

Une dépendance transitive est du code que vous n'avez pas choisi directement mais qui est tout de même livré et exécuté au sein de votre application. Une CVE critique qui s'y trouve est votre vulnérabilité, exactement comme si elle était dans votre propre code source. La réponse professionnelle est de trier puis de remédier, pas d'écarter.

La bonne réponse

1. Évaluer l'atteignabilité et l'exploitabilité. Votre application appelle-t-elle réellement la fonction ou le chemin vulnérable, avec une entrée influencée par l'attaquant ? Un score CVSS critique dans un chemin de code non atteignable représente un risque réel moindre qu'un « moyen » que vous appelez à chaque requête. Cela priorise le travail sans jamais ignorer le problème.
2. Remédier. Mettez à niveau le parent direct qui tire la mauvaise version ; s'il n'a pas publié de correctif, utilisez une résolution/overrides de dépendance pour forcer la version transitive corrigée, ou appliquez une atténuation documentée (configuration, WAF, désactivation de la fonctionnalité) comme solution temporaire.
3. Vérifier et redéployer, puis confirmer que l'avis disparaît de votre outillage SCA.

Pourquoi les distracteurs sont faux ou risqués

• L'ignorer parce qu'elle est transitive témoigne d'une incompréhension du fonctionnement des dépendances — le code s'exécute quel que soit celui qui l'a déclaré, et les attaquants se moquent que vous ne l'ayez pas écrit.
• Supprimer node_modules et réinstaller réinstalle la même version vulnérable que vos plages/lockfile autorisent. Cela ne change rien à l'avis.
• Supprimer l'avertissement de l'audit masque le signal pendant que le code exploitable reste en production — le pire résultat, car plus personne ne le suit.

Ce que l'examinateur cherche à évaluer

Si vous traitez le risque des dépendances comme réel et vous incombant, savez prioriser via l'atteignabilité plutôt que paniquer devant chaque ligne rouge, et connaissez les mécanismes concrets — overrides/résolutions, comportement du lockfile et suivi SCA — pour piloter réellement la correction et l'empêcher de régresser silencieusement.