272 matches found
vet
Quick Start • Documentation • Community !NOTE vet supports special mode for Agent Skills. Run vet scan --agent-skill to scan an Agent Skill hosted in a GitHub repository. Why vet? 70-90% of modern software is open source code — how do you know it's safe? Traditional SCA tools drown you in CVE...
azurelinux
Azure Linux 4 Una distribución de Linux de código abierto construida y optimizada paraAzure, con fuentes derivadas de Fedora Linux. Azure Linux proporciona un sistema operativo seguro y confiable para máquinas virtuales, contenedores y plataformas bare-metal. Azure Linux está construido sobre una...
sloppy-joe
捕获幻觉依赖、拼写钓鱼依赖和非规范依赖 在它们进入生产环境之前。 cargo install sloppy-joe 2026年3月的LiteLLM供应链攻击攻陷了一个月下载量达9700万的包。攻击者窃取了发布凭证，推送了恶意版本，这些版本窃取SSH密钥、云凭证和K8s密钥。sloppy-joe默认的72小时版本发布时间门控本可以阻止这两个被投毒的版本——它们在被发现后几小时内就被分析，远在门控开启之前。如果你在CI中运行sloppy-joe check，这次攻击就会失败。 完整分析 AI代码生成器产生的包名有大约20%的概率是幻觉。攻击者注册这些名称并等待。sloppy-joe在npm...
trustlock
trustlock 一个原生集成的 Git 依赖准入控制器。在每次依赖变更时评估信任信号。 工作原理 trustlock 作为 Git 预提交钩子 （建议模式）和 CI 检查 （强制模式）运行： 建议模式（预提交）： 对违规发出警告，退出码为 0，当所有包均被准入时推进信任基线。 强制模式（--enforce）： 阻止违规，退出码为 1，永不推进基线。 每个包评估的信任信号： 冷却期 — 版本发布到注册表后经过的时间 来源证明 — 包是否具有 SLSA 证明 版本固定 — 锁定文件是否使用精确版本 安装脚本 — 包是否运行安装时脚本 来源 — 包来自注册表、Git URL、本地路径还是...
minimal
小的、加固的容器镜像，免费且采用MIT许可证。 使用 Chainguard 的 apko 和 Wolfi 包从源代码构建，每六小时重建一次。 每个镜像都经过 cosign 签名，附带 SPDX SBOM 证明，并携带 SLSA Level 3 构建来源。您无需账户即可验证所有内容。 🌐 在 minimalcontainers.com 浏览完整目录 → 镜像目录 · 验证镜像 · 全部57个镜像 · HN讨论 30秒内拉取并验证 这些镜像的意义在于您无需信任我。拉取一个，然后亲自检查来源：bash Pull. It's public — no login, no rate limit...
slsa
SLSA（"salsa"）是软件工件供应链级别（Supply-chain Levels for Software Artifacts） SLSA（发音 “ salsa ”）是一个从源头到服务的安全框架，为所有使用软件的人提供了一种通用语言，用于提高软件安全和供应链完整性的各个级别。它让你从足够安全到在链条的任何环节都尽可能具有弹性。 了解 SLSA 参见 https://slsa.dev 了解 SLSA。 这个仓库里有什么？ 该仓库的主要内容是 spec/ 目录，该目录包含核心 SLSA 规范，以及 www/ 目录，该目录包含 slsa.dev 网站的源文件。在该目录的 README.m...
ore-mal-pkg-inspector
OreWatch Multi-Ecosystem Malicious Package Detection and Supply Chain Security Scanner A production-grade security tool for detecting malicious packages and supply chain threats across npm, PyPI, Maven, RubyGems, Go, and Cargo ecosystems. Leverages automated threat intelligence collection from...
ore-mal-pkg-inspector
OreWatch 多生态恶意包检测与供应链安全扫描器 一款生产级安全工具，用于检测 npm、PyPI、Maven、RubyGems、Go 和 Cargo 生态系统中的恶意包与供应链威胁。利用从可信安全来源自动收集的威胁情报，识别项目中受感染的依赖项。 OreWatch 是产品及 PyPI 包名。当前源代码仓库路径仍使用 ore-mal-pkg-inspector。 视频 安装 https://github.com/rapticore/ore-mal-pkg-inspector/issues/2issue-4215016110 OreWatch 与 Cursor...
lunasec
LunaTrace LunaTrace 是一个开源的供应链安全审计工具。其核心是一个 Web 控制台，用于跟踪您的项目及其依赖项，查找漏洞及其他问题。该控制台以 SaaS 形式提供（在此免费获取），您也可以自行部署和管理。 更多信息请参阅 LunaTrace 文档。 简短介绍视频 仓库结构 我们是一支安全工程师团队，致力于打造出色的开源应用安全工具。所有代码都存放在这个单体仓库中，以下是各部分内容的说明。 LunaTrace ：GitHub Dependabot 或 Snyk 等服务的免费替代品，可自动监控您的依赖项是否存在漏洞。它能自动与 GitHub Pull Request 集成，...
kubeclarity
!IMPORTANT KubeClarity 已被弃用，由 openclarity/openclarity 接替。 查看发布声明了解更多信息。 此项目不再接收更新。我们建议您迁移。 KubeClarity 是一个用于检测和管理容器镜像和文件系统的软件物料清单 SBOM 及漏洞的工具。它扫描运行时 K8s 集群和 CI/CD 管道，以增强软件供应链安全性。 目录 为何？ SBOM 和漏洞检测挑战 解决方案 功能 集成的 SBOM 生成器和漏洞扫描器 架构 开始使用 KubeClarity 后端 使用 Helm 安装 使用 Helm 卸载 在本地构建并运行（含演示数据） CLI 安装 SBO...
teamcity-cve-2026-63077-remediation
Suite Empresarial de Remediación de Seguridad Una suite de ingeniería de seguridad de nivel de producción que contiene cuatro paquetes especializados de respuesta a incidentes y endurecimiento. 📁 Arquitectura de Módulos del Repositorio root@kitploit: . ├── README.md Índice de la Suite Empresarial...
CTWall
CTWall - ChainThreatWall（链式威胁墙） GitHub 发布 --- 随着越来越多团队迁移到虚拟化开发环境以降低软件供应链风险，一个挑战依然存在：恶意依赖仍可能渗透并进入生产环境。 CTWall（ChainThreatWall） 平台帮助安全、DevOps 和产品团队利用 SBOM/BOM 数据识别软件供应链中的恶意软件，从而更快地做出风险决策。该工具是经典 SCA（软件组成分析）的实用补充：它在软件供应链层增加了面向恶意软件的检测。通过使用免费/公开威胁情报源（目前仅公开可用的 OSV 数据库，来自...
pmg
Package Manager Guard PMG Block malicious npm and pip packages before they install. Defense in depth for the package managers you already use...
appsec-forge
appsec-forge Creado para Desarrolladores, DevOps, AppSec, DevSecOps e Ingenieros de Seguridad. Una base de conocimientos de seguridad con enfoque en repositorios que cubre desarrollo seguro, seguridad de aplicaciones, infraestructura, cadena de suministro de software, IA y DevSecOps. Estudia los...
vet v1.19.0
Quick Start • Documentation • Community !NOTE vet supports special mode for Agent Skills. Run vet scan --agent-skill to scan an Agent Skill hosted in a GitHub repository. Why vet? 70-90% of modern software is open source code — how do you know it's safe? Traditional SCA tools drown you in CVE...
CVE-2026-71045
Vulnerability in the Oracle Agile PLM product of Oracle Supply Chain component: Security. The supported version that is affected is 9.3.6. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle Agile PLM. Successful attacks require human...
GO-2025-3660 vulnerabilities
Vulnerabilities for packages: kyverno, kyverno-fips, dapr-fips, kyverno-notation-aws-fips, tfsec, witness, conftest, kyverno-notation-aws, spire-server-fips, trivy, conftest-fips, spire-server, cosign, cosign-fips, policy-controller-fips, policy-controller, dapr, kots, trivy-fips...
GO-2026-4977 vulnerabilities
Vulnerabilities for packages: vitess, cilium-certgen, crossplane-provider-aws-cloudwatch, juicefs, seaweedfs-rocksdb-fips, act, prometheus-elasticsearch-exporter, crossplane-provider-aws-s3control, crossplane-provider-aws-mediapackage-fips, kubernetes-csi-node-driver-registrar-fips, conftest,...
Important: Red Hat Security Advisory: Red Hat Hardened Images RPMs Security Update
An update for Red Hat Hardened Images RPMs is now available. This update includes the following RPMs: cosign: cosign-3.1.2-0.3.hum1 aarch64, x8664 cosign-3.1.2-0.3.hum1.src src Security Fixes: cosign: CVE-2026-56852...