Ejecuta el comando en un proyecto con un archivo bun.lock:

bun audit

Bun envía la lista de paquetes instalados y versiones a NPM, e imprime un reporte de cualquier vulnerabilidad encontrada. Los paquetes instalados desde registros que no son el registro predeterminado se omiten.

Si no se encuentran vulnerabilidades, el comando imprime:

No vulnerabilities found

Cuando se detectan vulnerabilidades, cada paquete afectado se lista junto con la severidad, una descripción breve y un enlace al aviso. Al final del reporte Bun imprime un resumen y sugerencias para actualizar:

3 vulnerabilities (1 high, 2 moderate)
To update all dependencies to the latest compatible versions:
  bun update
To update all dependencies to the latest versions (including breaking changes):
  bun update --latest

Opciones de filtrado

--audit-level=<low|moderate|high|critical> - Mostrar solo vulnerabilidades en este nivel de severidad o superior:

bun audit --audit-level=high

--prod - Auditar solo dependencias de producción (excluye devDependencies):

bun audit --prod

--ignore <CVE> - Ignorar CVEs específicos (puede usarse múltiples veces):

bun audit --ignore CVE-2022-25883 --ignore CVE-2023-26136

--json

Usa la bandera --json para imprimir la respuesta JSON sin formato desde el registro en lugar del reporte formateado:

bun audit --json

Código de salida

bun audit saldrá con código 0 si no se encuentran vulnerabilidades y 1 si el reporte lista alguna vulnerabilidad. Esto sucederá incluso si se pasa --json.