# Semgrep v1.184.0 : journalisation JSON d’exécution et détection affinée des dépendances

- Link: https://dpioch.aristeecampus.org/veille/soc-dd380b19f6467fdb114f/
- Published: 2026-11-08T11:07:40+01:00
- Author: Admin

![Semgrep CLI image](https://dpioch.aristeecampus.org/wp-content/uploads/2026/11/
soc-f72b1898d625aed183faf6fb6332d8b2e9dee06dbda86c96565f5711b9dea467.jpg)

Terminal affichant une analyse Semgrep (« semgrep scan –config auto ») avec résultats
détaillés incluant des findings de sécurité comme « express-check-csrf-middleware-
usage » et « insecure-transport.js-node.using-http-server ».

![Semgrep logo](https://dpioch.aristeecampus.org/wp-content/uploads/2026/11/soc-
ae8e3e282d1a4629f3f362e8518e43316c80e483bbab77455f0bc5a5e71decd4.png)

## Le sujet

Semgrep v1.184.0

Cette version introduit un journal d'exécution JSON avec métadonnées de scan et 
étend l'évaluation des vulnérabilités aux plages de dépendances non figées. Elle
supprime également l'exposition des identifiants dans les traces de proxy.

**À quoi sert la solution ?** Semgrep est un outil d'analyse statique du code source
pour développeurs et équipes de sécurité. Il s'exécute localement dans les éditeurs,
en pré-commit ou au sein des pipelines d'intégration continue.

**Famille** — detection

**Publié** — 05/11/2026

**Source** — Semgrep — notes officielles

## Ce qui change

 * La variable SEMGREP_LOG_JSON_FILE permet d'émettre des événements d'exécution
   structurés avec métadonnées de scan en plus de la sortie texte usuelle.
 * Les dépendances Python déclarées sous forme d'intervalle ou sans version génèrent
   désormais une alerte pour chaque avis de sécurité chevauchant la plage.
 * Semgrep masque désormais les identifiants intégrés aux URL de proxy lors de la
   journalisation des paramètres de configuration.

## Pour le SOC

L'export des événements en JSON structuré faciliterait l'intégration directe de 
la télémétrie des scans au sein d'un SIEM. Cependant, l'évaluation élargie des dépendances
non figées risquerait d'accroître le volume d'alertes à trier manuellement par les
analystes.

## À retenir

 * La journalisation structurée améliore la visibilité opérationnelle des scans 
   sans fuite d'identifiants de proxy dans les journaux. Condition : si les événements
   JSON d'exécution sont collectés par l'équipe de sécurité.
 * Les alertes générées n'ont pas de version installée confirmée et exigent une 
   revue manuelle. Condition : lorsque les manifestes requirements.txt n'utilisent
   pas de versions strictement figées.

Termes utiles

  SAST Technique d'analyse statique de sécurité examinant le code source au repos
sans nécessiter l'exécution de l'application. SCA Analyse des composants logiciels
et dépendances tierces pour détecter les vulnérabilités de la chaîne d'approvisionnement
logicielle.

## Sources

Les nouveautés reposent sur les notes du projet, sans confirmation indépendante ;
aucun test local.

 * [Semgrep — notes officielles](https://api.github.com/repos/semgrep/semgrep/releases/435623322)
 * [Semgrep — README officiel](https://raw.githubusercontent.com/semgrep/semgrep/v1.184.0/README.md)