OWASP dep-scan est un outil d'analyse de composition logicielle (SCA) : il vérifie les dépendances d'un projet et d'images de conteneurs au regard des vulnérabilités connues, des avis de sécurité et des restrictions de licence. Il hiérarchise les résultats, analyse l'accessibilité du code pour plusieurs langages et peut produire une nomenclature logicielle (SBOM) avec des informations de vulnérabilité ou un document CSAF VEX. Les équipes de développement l'utilisent en local ou dans un pipeline CI, en ligne de commande (pip, Homebrew ou binaire autonome), en image de conteneur ou en mode serveur.
Selon le projet, AppThreat Ltd l'a donné à l'OWASP Foundation en août 2023. Cette organisation à but non lucratif est constituée aux États-Unis, où la fondation a donc son siège. La version standard est sous licence MIT ; des composants supplémentaires de l'installation complète ont d'autres licences. D'après le README, l'analyse des paquets s'exécute en local sans serveur, de sorte que vos données ne vont pas au mainteneur. Le développement a été cofinancé par NLnet et le programme NGI Zero de l'UE.