{"id":181810,"date":"2026-05-30T14:48:13","date_gmt":"2026-05-30T12:48:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vigolium-v0-1-13-beta"},"modified":"2026-05-30T14:48:13","modified_gmt":"2026-05-30T12:48:14","slug":"vigolium-v0-1-13-beta","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/vigolium-v0-1-13-beta","title":{"rendered":"Vigolium v0.1.13-beta","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><a rel=\"nofollow\" href=\"https:\/\/www.linux.org.ru\/images\/23496\/original.png\" itemprop=\"contentURL\"><\/p>\n<p>      <img decoding=\"async\" src=\"\/wp-content\/uploads\/2026\/05\/6b5dca385b6e09391b374bd74ce93d2c.jpg\" style=\"display:block;margin: 0 auto;\" \/><\/p>\n<p>      <\/a><\/p>\n<p><noindex>      <noindex><\/p>\n<p>Publication de la version b\u00eata ouverte <strong><a rel=\"nofollow\" href=\"https:\/\/github.com\/vigolium\/vigolium\/releases\/tag\/v0.1.13-beta\">Vigolium v0.1.13-beta<\/a><\/strong> \u2014 d'un scanner de vuln\u00e9rabilit\u00e9s pour les applications web, combinant un scan d\u00e9terministe classique avec un audit agen\u00e7\u00e9 bas\u00e9 sur LLM. Le projet est disponible sur GitHub et est distribu\u00e9 sous la licence <strong>GNU AGPLv3<\/strong>; la partie commerciale a \u00e9t\u00e9 transf\u00e9r\u00e9e dans le cloud <strong>Cloud Console<\/strong>, tandis que le c\u0153ur du scanner est d\u00e9clar\u00e9 comme ouvert.<\/p>\n<p><\/noindex><\/noindex><\/p>\n<p>Vigolium propose deux modes de fonctionnement principaux : vigolium scan \u2014 un scan multi-\u00e9tapes classique \u00e0 la recherche de contenu, du spidering via un navigateur, audit actif et passif ; et vigolium agent \u2014 un mode agent o\u00f9 LLM choisit des modules, planifie des attaques, g\u00e9n\u00e8re des extensions JavaScript personnalis\u00e9es et combine les tests dynamiques avec l'audit du code source.<\/p>\n<p><noindex><\/p>\n<p>Selon <a rel=\"nofollow\" href=\"https:\/\/docs.vigolium.com\/native-scan\/modules-reference\">le r\u00e9pertoire des modules \u00e0 jour<\/a>, Vigolium comprend <strong>251 modules de v\u00e9rification<\/strong>, dont <strong>154 actifs<\/strong> et <strong>97 passifs<\/strong>. Les modules actifs envoient des requ\u00eates modifi\u00e9es et appliquent du fuzzing, des injections et une analyse comportementale, tandis que les passifs analysent d\u00e9j\u00e0 les paires requ\u00eate\/r\u00e9ponse existantes sans g\u00e9n\u00e9rer de trafic suppl\u00e9mentaire.<\/p>\n<p><\/noindex><\/p>\n<h3><a rel=\"nofollow\" href=\"https:\/\/github.com\/vigolium\/vigolium#key-features\">Fonctionnalit\u00e9s<\/a><\/h3>\n<ul>\n<li>\n<p><strong>Scan Natif \u2014 un scan d\u00e9terministe classique.<\/strong><br \/>\nLe mode vigolium scan est con\u00e7u pour des v\u00e9rifications rapides et reproductibles. Il passe par plusieurs phases : collecte de donn\u00e9es externes, d\u00e9couverte de contenu, browser\/SPA-spidering et audit. Ce mode est pratique pour CI, v\u00e9rifications r\u00e9guli\u00e8res et cas o\u00f9 il est important d'obtenir un r\u00e9sultat pr\u00e9visible sans l'intervention de LLM.<\/p>\n<\/li>\n<li>\n<p><strong>Scan Agentique \u2014 audit agen\u00e7\u00e9 avec LLM.<\/strong><br \/>\nLe mode vigolium agent utilise un runtime int\u00e9gr\u00e9 <strong>olium<\/strong>. L'agent peut lui-m\u00eame rechercher des endpoints, choisir des modules, ex\u00e9cuter des v\u00e9rifications, analyser du code, r\u00e9aliser du SAST et re-v\u00e9rifier les d\u00e9couvertes. Les sc\u00e9narios Autopilot, Swarm et Query mode sont pris en charge : du scan autonome de la cible aux requ\u00eates uniques pour la r\u00e9vision du code, la recherche d'endpoints et la d\u00e9couverte de secrets.<\/p>\n<\/li>\n<li>\n<p><strong>V\u00e9rifications XSS, SQLi, NoSQLi, SSTI, LFI, RCE, XXE et SSRF.<\/strong><br \/>\nLe r\u00e9pertoire des modules \u00e9num\u00e8re les v\u00e9rifications XSS r\u00e9fl\u00e9chies, les injections SQL via des erreurs et SQLi aveugles bas\u00e9es sur des bool\u00e9ens, les injections NoSQL, l'injection de mod\u00e8les c\u00f4t\u00e9 serveur, l'inclusion de fichiers locaux, l'injection de commandes, XXE, SSRF et des vuln\u00e9rabilit\u00e9s hors bande. Pour les d\u00e9couvertes, une \u00e9chelle de gravit\u00e9 est utilis\u00e9e allant de critique \u00e0 information et une \u00e9chelle de confiance certain, ferme, tentative.<\/p>\n<\/li>\n<li>\n<p><strong>V\u00e9rifications OAST pour les vuln\u00e9rabilit\u00e9s \u00ab aveugles \u00bb.<\/strong><br \/>\nVigolium peut v\u00e9rifier les blind XSS, blind SSRF, blind XXE et blind RCE via des m\u00e9canismes de callback, y compris \u00e0 travers interactsh. Cela est n\u00e9cessaire dans les cas o\u00f9 la vuln\u00e9rabilit\u00e9 ne se manifeste pas directement dans la r\u00e9ponse HTTP, mais o\u00f9 le serveur effectue une requ\u00eate DNS\/HTTP externe ou ex\u00e9cute une action diff\u00e9r\u00e9e.<\/p>\n<\/li>\n<li>\n<p><strong>Mutation sensible \u00e0 la valeur \u2014 mutation des param\u00e8tres en tenant compte du sens de la valeur.<\/strong><br \/>\nLe scanner classe les param\u00e8tres par type s\u00e9mantique : nombre, UUID, JWT, email et d'autres variantes, puis s\u00e9lectionne les mutations en fonction du contexte. Cela devrait r\u00e9duire le bruit par rapport \u00e0 un remplacement brut des m\u00eames payloads dans tous les champs \u00e0 la suite.<\/p>\n<\/li>\n<li>\n<p><strong>Prise en charge de diff\u00e9rents formats d'entr\u00e9e.<\/strong><br \/>\nComme entr\u00e9e, vous pouvez passer des URL, des sp\u00e9cifications OpenAPI\/Swagger, des collections Postman, des donn\u00e9es de Burp Suite, cURL et Nuclei JSONL. La soumission d'URL via stdin et l'ex\u00e9cution de phases de scan individuelles sont \u00e9galement prises en charge.<\/p>\n<\/li>\n<li>\n<p><strong>Scan authentifi\u00e9 et v\u00e9rifications IDOR\/BOLA.<\/strong><br \/>\nVigolium prend en charge plusieurs sessions simultan\u00e9ment : les sessions peuvent \u00eatre transmises en ligne, charg\u00e9es \u00e0 partir de fichiers ou d\u00e9crites via des flux de connexion complets avec extraction de tokens. Cela est utilis\u00e9 pour les v\u00e9rifications de contr\u00f4le d'acc\u00e8s horizontal et vertical, y compris IDOR\/BOLA et l'escalade de privil\u00e8ges.<\/p>\n<\/li>\n<li>\n<p><strong>V\u00e9rifications des frameworks et des fuites typiques.<\/strong><br \/>\nLa liste des modules comprend des v\u00e9rifications pour Next.js, Spring\/Java, Django, Flask, FastAPI, Laravel, Symfony, Rails, Express et ASP.NET\/IIS. Par exemple, pour Spring, les endpoints Actuator ouverts, Spring Boot Admin, Spring Cloud Config, H2 Console, Jolokia et les consoles de serveurs d'applications Java sont v\u00e9rifi\u00e9s ; pour Next.js \u2013 des fuites via \/_next\/data, SSRF dans Image Optimizer et des contournements middleware.<\/p>\n<\/li>\n<li>\n<p><strong>Extensions JavaScript.<\/strong><br \/>\nL'utilisateur peut \u00e9crire ses propres modules et hooks en JavaScript via le moteur JS int\u00e9gr\u00e9 avec API HTTP, prenant en compte les sessions. Une limitation importante : ces extensions peuvent ex\u00e9cuter des commandes arbitraires et ne sont pas isol\u00e9es par un bac \u00e0 sable, il faut donc les consid\u00e9rer comme un code ex\u00e9cutable normal.<\/p>\n<\/li>\n<li>\n<p><strong>Phase de tri s\u00e9par\u00e9e pour les r\u00e9sultats.<\/strong><br \/>\nDans les tests de s\u00e9curit\u00e9 assist\u00e9s par LLM, un probl\u00e8me courant est celui des d\u00e9couvertes plausibles mais non reproductibles. L'auteur de Vigolium d\u00e9crit le tri comme un passage s\u00e9par\u00e9 : d'abord, le scanner collecte les candidats, puis une v\u00e9rification s\u00e9par\u00e9e recoupe chaque d\u00e9couverte avec des preuves.<\/p>\n<\/li>\n<li>\n<p><strong>Limitations budg\u00e9taires pour le mode agent.<\/strong><br \/>\nPour le scan agent, il est possible de limiter les tokens, le nombre d'appels aux outils, le nombre d'it\u00e9rations triage et le temps d'ex\u00e9cution total. Cela est important pour le CI et les pentests avec un temps fixe : l'agent ne doit pas \u00ab creuser \u00bb ind\u00e9finiment une seule cible et br\u00fbler le budget sur des hypoth\u00e8ses peu utiles.<\/p>\n<\/li>\n<li>\n<p><strong>Rapports, file d'attente et mise \u00e0 l'\u00e9chelle.<\/strong><br \/>\nDans Native Scan, un pool de workers concurrent, une limitation de taux par h\u00f4te, une file d'attente hybride en m\u00e9moire, sur disque ou dans Redis, ainsi que des rapports HTML autonomes sont annonc\u00e9s. Les sorties disponibles incluent console, JSONL et HTML.<\/p>\n<\/li>\n<li>\n<p><strong>Mode serveur, API et int\u00e9gration avec Burp Suite.<\/strong><br \/>\nVigolium peut \u00eatre ex\u00e9cut\u00e9 en tant que serveur API, accepter le trafic, inclure un proxy HTTP transparent et scanner automatiquement les donn\u00e9es re\u00e7ues. Pour Burp Suite, une extension distincte burp-vigolium est mentionn\u00e9e, permettant d'envoyer du trafic en direct au serveur Vigolium.<\/p>\n<\/li>\n<li>\n<p><strong>Workbench et Console.<\/strong><br \/>\nEn plus du CLI, le projet d\u00e9crit <strong>Workbench<\/strong> \u2014 un tableau de bord auto-h\u00e9berg\u00e9 pour visualiser les r\u00e9sultats, g\u00e9rer les projets et suivre les d\u00e9couvertes. <strong>Console<\/strong> \u2014 une couche commerciale cloud pour le scanning g\u00e9r\u00e9, les rapports centralis\u00e9s, la collaboration et la planification des tests.<\/p>\n<\/li>\n<\/ul>\n<h3>Installation<\/h3>\n<p>Le projet propose une installation via un script shell, npm, Docker, Homebrew, Bun et une compilation \u00e0 partir des sources. Les exigences pour la compilation \u00e0 partir des sources sont indiqu\u00e9es dans le README <strong>Go 1.26+<\/strong> et <strong>bun 1.3.11+<\/strong>.<\/p>\n<p>curl -fsSL https:\/\/vigolium.com\/install.sh | bash<\/p>\n<p>npm install -g @vigolium\/vigolium<\/p>\n<p>docker pull j3ssie\/vigolium:latest<br \/>\ndocker run \u2014rm j3ssie\/vigolium:latest scan -h<\/p>\n<p>Les d\u00e9veloppeurs avertissent que Vigolium est un outil de s\u00e9curit\u00e9 offensive : le mode agent s'ex\u00e9cute sans sandbox et obtient un acc\u00e8s complet au shell, au syst\u00e8me de fichiers et au r\u00e9seau de l'h\u00f4te, et les extensions peuvent \u00e9galement ex\u00e9cuter des commandes arbitraires. Il est donc recommand\u00e9 d'ex\u00e9cuter des v\u00e9rifications agents dans un conteneur jetable ou une machine virtuelle, restreinte aux conditions du test sp\u00e9cifique.<\/p>\n<p>Source : <a \ncontent=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/www.linux.org.ru\/news\/security\/18304531\">linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d \u043d\u0430\u0447\u0430\u043b\u044c\u043d\u044b\u0439 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0432\u044b\u043f\u0443\u0441\u043a Vigolium v0.1.13-beta \u2014 \u0441\u043a\u0430\u043d\u0435\u0440\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0434\u043b\u044f \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439, \u0441\u043e\u0432\u043c\u0435\u0449\u0430\u044e\u0449\u0435\u0433\u043e \u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u043e\u0435 \u0434\u0435\u0442\u0435\u0440\u043c\u0438\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0435 \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0441 \u0430\u0433\u0435\u043d\u0442\u043d\u044b\u043c \u0430\u0443\u0434\u0438\u0442\u043e\u043c \u043d\u0430 \u0431\u0430\u0437\u0435 LLM. \u041f\u0440\u043e\u0435\u043a\u0442 \u0434\u043e\u0441\u0442\u0443\u043f\u0435\u043d \u043d\u0430 GitHub \u0438 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u0435\u0442\u0441\u044f \u043f\u043e\u0434 \u043b\u0438\u0446\u0435\u043d\u0437\u0438\u0435\u0439 GNU AGPLv3; \u043a\u043e\u043c\u043c\u0435\u0440\u0447\u0435\u0441\u043a\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u0432\u044b\u043d\u0435\u0441\u0435\u043d\u0430 \u0432 \u043e\u0431\u043b\u0430\u0447\u043d\u044b\u0439 Cloud Console, \u0442\u043e\u0433\u0434\u0430 \u043a\u0430\u043a \u044f\u0434\u0440\u043e \u0441\u043a\u0430\u043d\u0435\u0440\u0430 \u0437\u0430\u044f\u0432\u043b\u0435\u043d\u043e \u043a\u0430\u043a \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u0435. Vigolium \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u0435\u0442 \u0434\u0432\u0430 \u043e\u0441\u043d\u043e\u0432\u043d\u044b\u0445 \u0440\u0435\u0436\u0438\u043c\u0430 \u0440\u0430\u0431\u043e\u0442\u044b: vigolium scan \u2014 \u043e\u0431\u044b\u0447\u043d\u043e\u0435 [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":181811,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-181810","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"description\" content=\".\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Erik Peterson\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/fr\/blog\/news\/vigolium-v0-1-13-beta\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"fr_FR\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47Vigolium v0.1.13-beta | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\".\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/fr\/blog\/news\/vigolium-v0-1-13-beta\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2026-05-30T12:48:14+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2026-05-30T12:48:14+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Vigolium v0.1.13-beta | ProHoster","description":".","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/vigolium-v0-1-13-beta","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Vigolium v0.1.13-beta | ProHoster","og:description":".","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/vigolium-v0-1-13-beta","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-05-30T12:48:14+00:00","article:modified_time":"2026-05-30T12:48:14+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/181810","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=181810"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/181810\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/181811"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=181810"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=181810"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=181810"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}