Execute o comando em um projeto com um arquivo bun.lock:

bun audit

O Bun envia a lista de pacotes instalados e versões para o NPM e imprime um relatório de quaisquer vulnerabilidades encontradas. Pacotes instalados de registros diferentes do registro padrão são ignorados.

Se nenhuma vulnerabilidade for encontrada, o comando imprime:

No vulnerabilities found

Quando vulnerabilidades são detectadas, cada pacote afetado é listado junto com a severidade, uma breve descrição e um link para o aviso. No final do relatório, o Bun imprime um resumo e dicas para atualização:

3 vulnerabilities (1 high, 2 moderate)
To update all dependencies to the latest compatible versions:
  bun update
To update all dependencies to the latest versions (including breaking changes):
  bun update --latest

Opções de filtragem

--audit-level=<low|moderate|high|critical> - Mostrar apenas vulnerabilidades neste nível de severidade ou superior:

bun audit --audit-level=high

--prod - Auditar apenas dependências de produção (exclui devDependencies):

bun audit --prod

--ignore <CVE> - Ignorar CVEs específicos (pode ser usado várias vezes):

bun audit --ignore CVE-2022-25883 --ignore CVE-2023-26136

--json

Use a flag --json para imprimir a resposta JSON bruta do registro em vez do relatório formatado:

bun audit --json

Código de saída

bun audit sairá com código 0 se nenhuma vulnerabilidade for encontrada e 1 se o relatório listar quaisquer vulnerabilidades. Isso ainda acontece mesmo se --json for passado.