Sécurité de votre application : Harbor Bakery, online-shop

Préparé pour Emma Clarke. Version du 07/11/2026 : 142 paquets analysés. Le code du projet a aussi été analysé.

2 mises à jour prévues

Aucune faille connue n'est exploitée en ce moment contre les composants de votre application. 2 composants ont une faille connue à traiter : nous les mettons à jour d'ici le 21/11/2026. Le code contient une clé secrète à retirer et à remplacer. Le code contient 3 problèmes graves à corriger.

2mises à jour à faire

1paquet à vérifier

31failles connues, dont 28 écartées

4problèmes graves dans le code

Ce que nous corrigeons

Composant	Ce que ça change pour vous	Prévu le
next 15.2.2 → 15.2.3	Contournement de la protection des pages privéesCVE-2025-29927, gravité critique	10/11/2026
path-to-regexp 0.1.7 → 0.1.10	Une adresse piégée peut bloquer le serveurCVE-2024-45296, gravité élevée	21/11/2026

Ce que nous vérifions

Composant	Ce que ça change pour vous	Prévu le
axios 1.5.1 → 1.6.0	Le jeton XSRF peut partir vers un autre siteCVE-2023-45857, gravité moyenne	21/11/2026

Problèmes dans le code

Les fichiers et les lignes correspondent au code analysé le 07/11/2026. Ce rapport indique les endroits, jamais le code ni la valeur des clés.

Problème	Fichier et ligne	À faire
RLS désactivée sur une tablegravité critique, CWE-284	supabase/migrations/003_orders.sql:2	Supprimez cette ligne et activez RLS avec des règles par utilisateur.
Table Supabase sans RLSgravité critique, CWE-284	supabase/migrations/003_orders.sql:1	Ajoutez « alter table … enable row level security; » puis des règles qui limitent chaque ligne à son propriétaire (auth.uid()).
Clé secrète Stripe dans le codegravité critique, CWE-798	src/lib/stripe.ts:3	Révoquez la clé dans le tableau de bord Stripe, puis lisez-la depuis une variable d'environnement côté serveur.
Requête SQL construite avec du texte de l'utilisateurgravité élevée, CWE-89	src/lib/products.ts:4	Utilisez des paramètres (%s, ?, $1) ou l'ORM au lieu de coller les valeurs dans la requête.

Registre de traitement des vulnérabilités

Délais à partir de la détection : 7 jours pour une faille exploitée activement ou critique, 30 jours pour une gravité élevée, 90 jours pour une gravité moyenne, 180 jours pour une gravité faible.

Faille	Détectée le	À corriger avant	État
CVE-2025-29927next 15.2.2, gravité critique	07/11/2026	14/11/2026	en cours
CVE-2023-45857axios 1.5.1, gravité moyenne	30/10/2026	28/01/2027	en cours
CVE-2024-45296path-to-regexp 0.1.7, gravité élevée	30/10/2026	29/11/2026	en cours

Ce qui a été vérifié

Composants142 paquets comparés aux bases OSV et FIRST EPSS et au catalogue CISA KEV.

Paquets inventés ou malveillantsUn paquet introuvable sur son registre, souvent inventé par une IA.

Clés et mots de passeUne clé secrète dans le code : à retirer et à remplacer. Détail dans « Problèmes dans le code ».

Code de l'application3 problèmes graves à corriger (accès aux données, injection ou configuration). Détail dans « Problèmes dans le code ».

Une faille est écartée quand elle ne concerne pas votre application : partie du composant non utilisée, risque très faible en pratique, ou décision vérifiée par notre équipe. La liste des 28 failles écartées, avec la raison de chacune, est disponible sur demande auprès de Brightline Studio. Ce rapport ne remplace pas un audit de sécurité.

Sources : OSV, FIRST EPSS, CISA KEV (catalogue du 2026.11.03), PyPI, npm.

Brightline Studio Analyse réalisée avec Tamiso

Comment ça marche

À votre marque

Nom, logo et contact de votre agence. Votre client ouvre le rapport par un lien, sans compte, ou vous l'enregistrez en PDF.

Vos dates de correction

Pour chaque mise à jour, la date prévue et, si besoin, une explication. Les failles écartées sont comptées ; leur liste reste chez vous.

Le registre des corrections

Date de détection, date de correction et délai selon la gravité : ce que demandent les clients soumis à NIS2.

Inclus dans l'offre Studio59 € HT par mois, 15 projets clients, jusqu'à 5 personnes.

Réserver Studio

Un rapport que votre client comprend.