shai-scan

shai-scan 零依赖的 npm 和 PyPI 供应链受损检测 CLI 扫描器。 为什么？ 2026年5月11日，一种自传播的供应链蠕虫被命名为 Mini Shai-Hulud （CVE-2026-45321，GHSA-g7cv-rxg3-hmpx）入侵了 npm 生态系统。该恶意软件归因于 TeamPCP （又名 DeadCatx3、PCPcat、ShellForce、CipherForce），它劫持了 GitHub Actions OIDC 令牌，发布带有有效 SLSA Build Level 3 来源证明的恶意包。它窃取了 CI/CD 流水线、云提供商和加密货币钱包中的凭证，并...

cve-lite-on-pi

cve-lite-on-pi 在 pi 单体仓库上运行 CVE Lite CLI 的简短报告及其发现。 背景 本实验的灵感来自文章 "OWASP CVE Lite CLI – 用于扫描项目中漏洞的新工具" （CyberSecurityNews）。 什么是 CVE Lite CLI？ CVE Lite CLI 是一个面向开发者的、本地 的命令行扫描器，适用于 JavaScript/TypeScript 项目。它无需安装或运行你的依赖项，而是读取你的锁文件 （package-lock.json、pnpm-lock.yaml、yarn.lock 或...