OWASP dep-scan is een hulpmiddel voor software composition analysis (SCA): het controleert de afhankelijkheden van een project en van containerimages op bekende kwetsbaarheden, beveiligingsadviezen en licentiebeperkingen. Het geeft prioriteit aan bevindingen, voert voor meerdere programmeertalen een bereikbaarheidsanalyse uit, kan een softwarestuklijst (SBOM) met kwetsbaarheidsinformatie genereren en kan een CSAF-VEX-document opstellen. Ontwikkelteams gebruiken het lokaal of in een CI-pijplijn, als opdrachtregelprogramma (pip, Homebrew of zelfstandige binary), als containerimage of in servermodus.
Volgens het project is het in augustus 2023 door AppThreat Ltd geschonken aan de OWASP Foundation. Die is als non-profitorganisatie ingeschreven in de Verenigde Staten, dus de stichting die het project onderbrengt zetelt in de VS. De standaardversie valt onder de MIT-licentie; extra componenten in de volledige installatie hebben andere licenties. Volgens de README draait het scannen van pakketten lokaal en is er geen server nodig, zodat uw gegevens niet naar de beheerder gaan. De ontwikkeling is mede gefinancierd via NLnet en het NGI Zero-programma van de EU.