🐺 Vulfy

Escáner de vulnerabilidades rápido, compatible con múltiples lenguajes, que no se anda con tonterías.

🚀 ¿Qué es Vulfy?

Vulfy es un escáner de vulnerabilidades ultrarrápido que revisa las dependencias de tu proyecto en busca de problemas de seguridad conocidos en 9 lenguajes de programación. Construido con Rust para un rendimiento máximo, se integra con la base de datos OSV.dev para proporcionar información de vulnerabilidades precisa y actualizada.

✨ Características principales

• 🔥 Rapidísimo: rendimiento asíncrono de Rust con escaneo concurrente
• 🌍 Compatibilidad multi-ecosistema: npm, Python, Rust, Java, Go, Ruby, C/C++, PHP, .NET
• 📊 Múltiples formatos de salida: tabla, JSON, CSV, SARIF para diferentes casos de uso
• 🎯 Integración con OSV.dev: datos reales de vulnerabilidades de la base de datos de Vulnerabilidades de Código Abierto de Google
• ⚡ Cero configuración: funciona desde el primer momento; configura solo lo que necesitas
• 🔄 Listo para CI/CD: códigos de salida y formatos perfectos para pipelines automatizados
• 🤖 Automatización y monitorización: monitorización continua de repositorios Git con notificaciones inteligentes
• 📋 Motor de políticas avanzado: filtrado personalizado de vulnerabilidades y políticas de seguridad
• 🔔 Notificaciones multiplataforma: integraciones con Discord, Slack y webhooks

📚 Documentación

📖 Documentación completa - Guías exhaustivas, tutoriales y referencia de API

Navegación rápida

• 🚀 Inicio rápido en 5 minutos - Empieza a escanear de inmediato
• ⚙️ Guía de instalación - Todos los métodos de instalación
• 📋 Referencia de CLI - Documentación completa de comandos
• 🤖 Configuración de automatización - Monitorización continua
• 🔧 Esquema de configuración - Referencia completa de configuración

📦 Instalación

Opción 1: Binarios precompilados (Recomendada)

# Linux/WSL
curl -LO https://github.com/mindPatch/vulfy/releases/latest/download/vulfy-linux-x86_64.tar.gz
tar -xzf vulfy-linux-x86_64.tar.gz
sudo mv vulfy /usr/local/bin/

# macOS (Intel)
curl -LO https://github.com/mindPatch/vulfy/releases/latest/download/vulfy-macos-x86_64.tar.gz
tar -xzf vulfy-macos-x86_64.tar.gz
sudo mv vulfy /usr/local/bin/

# macOS (Apple Silicon)
curl -LO https://github.com/mindPatch/vulfy/releases/latest/download/vulfy-macos-aarch64.tar.gz
tar -xzf vulfy-macos-aarch64.tar.gz
sudo mv vulfy /usr/local/bin/

Opción 2: Usando Cargo

cargo install vulfy

Opción 3: Desde el código fuente

git clone https://github.com/mindPatch/vulfy.git
cd vulfy
cargo build --release
sudo cp target/release/vulfy /usr/local/bin/

Verificar la instalación:

vulfy --version
# Should output: vulfy 0.1.0

🏃‍♂️ Inicio rápido

Escaneo básico de vulnerabilidades

# Scan current directory
vulfy scan packages

# Scan specific directory
vulfy scan packages --path /path/to/project

# Only show high-severity vulnerabilities
vulfy scan packages --high-only

Generar informes

# JSON for automation/CI
vulfy scan packages --format json --output security-report.json

# CSV for spreadsheet analysis
vulfy scan packages --format csv --output vulnerabilities.csv

# SARIF for GitHub Security tab
vulfy scan packages --format sarif --output vulfy.sarif

Integración CI/CD

# Fail build if high-severity vulnerabilities found
vulfy scan packages --high-only --quiet || exit 1

# Scan specific ecosystems only
vulfy scan packages --ecosystems npm,pypi --no-dev-deps

🎯 Ecosistemas compatibles

📋 Ejemplo de salida

Formato de tabla elegante (predeterminado)

🔍 Scanning for package files...
📦 Found 6 package files across 4 ecosystems

🛡️  VULNERABILITY REPORT
┌─────────────────────────────────────────┬──────────────┬──────────┬─────────────────┬──────┐
│ Title                                   │ CVE ID       │ Severity │ Package         │ Year │
├─────────────────────────────────────────┼──────────────┼──────────┼─────────────────┼──────┤
│ Remote Code Execution in lodash        │ CVE-2021-123 │ 🔥 High  │ [email protected]   │ 2021 │
│ Path Traversal in express              │ CVE-2022-456 │ 🟡 Medium│ [email protected]  │ 2022 │
│ SQL Injection in sequelize             │ CVE-2020-789 │ 🔥 High  │ [email protected] │ 2020 │
└─────────────────────────────────────────┴──────────────┴──────────┴─────────────────┴──────┘

📊 SCAN SUMMARY
• Total packages scanned: 42
• Vulnerable packages: 8
• Total vulnerabilities: 12
• 🔥 High severity: 4
• 🟡 Medium severity: 6
• 🟢 Low severity: 2

📖 Ver todos los formatos de salida - Ejemplos de JSON, CSV, SARIF

🤖 Automatización y monitorización

Vulfy incluye un potente sistema de automatización para la monitorización continua de seguridad de repositorios Git.

Características clave de automatización

• 📂 Monitorización multi-repositorio: realiza un seguimiento de múltiples repositorios Git con escaneos específicos por rama
• ⏰ Programación flexible: horaria, diaria, semanal o expresiones cron personalizadas
• 🔔 Notificaciones inteligentes: alertas enriquecidas de Discord/Slack con filtrado por gravedad
• 📋 Motor de políticas avanzado: filtrado personalizado de vulnerabilidades con coincidencia de palabras clave
• 🔐 Compatibilidad con autenticación: tokens de GitHub, claves SSH, acceso a repositorios privados
• 🏗️ Filtrado por ecosistema: segmentación de ecosistemas por repositorio para escaneos centrados

Configuración rápida de automatización

# Initialize automation with example configuration
vulfy automation init --with-examples

# Validate configuration
vulfy automation validate

# Run manual scan using automation config
vulfy automation run

# Start continuous monitoring
vulfy automation start --foreground

Ejemplo de configuración

# Monitor multiple repositories
[[repositories]]
name = "my-web-app"
url = "https://github.com/user/my-web-app.git"
branches = ["main", "develop"]
ecosystems = ["npm", "pypi"]

[repositories.credentials]
username = "git"
token = "your_github_token_here"

# Schedule daily scans at 2:00 AM UTC
[schedule]
frequency = "daily"
time = "02:00"
timezone = "UTC"

# Discord webhook notifications
[[notifications.webhooks]]
name = "Security Alerts"
url = "https://discord.com/api/webhooks/..."
webhook_type = "discord"
enabled = true

# Advanced security policies
[[policies]]
name = "Critical Authentication Issues"
enabled = true

[policies.conditions]
title_contains = ["authentication", "auth", "bypass"]
severity = ["high", "critical"]

[policies.actions]
notify = true
priority = "critical"
custom_message = "🚨 Critical auth vulnerability detected!"

📖 Guía completa de automatización - Configuración y preparación detalladas

🛠️ Uso y configuración

Opciones de línea de comandos

vulfy scan packages [OPTIONS]

OPTIONS:
    -p, --path <PATH>              Directory to scan [default: current directory]
    -f, --format <FORMAT>          Output format: table, json, csv, summary, sarif
    -o, --output <FILE>            Save results to file
    -e, --ecosystems <LIST>        Only scan specific ecosystems (comma-separated)
    -q, --quiet                    Suppress progress output
    --high-only                    Show only high/critical severity vulnerabilities
    --no-recursive                 Don't scan subdirectories
    --no-dev-deps                  Skip development dependencies

Configuración del proyecto

Crea un archivo .vulfy.toml en la raíz de tu proyecto:

[scan]
ecosystems = ["npm", "pypi", "crates.io"]
min_severity = "medium"
skip_dev_deps = true
ignore_paths = ["node_modules", "vendor", ".git"]

[output]
format = "table"
color = "auto"

[api]
timeout = 30
max_concurrent = 10
retry_attempts = 3

📖 Referencia completa de configuración - Documentación completa del esquema

🚀 Hoja de ruta

✅ Añadido recientemente

• 🤖 Sistema de automatización completo: monitorización de repositorios Git con programación
• 🔔 Notificaciones multiplataforma: integraciones con Discord, Slack y webhooks
• 📋 Motor de políticas avanzado: filtrado personalizado de vulnerabilidades y políticas de seguridad
• 🆕 3 nuevos ecosistemas: compatibilidad con C/C++, PHP y .NET

🔄 Próximamente

• 🔧 Modo de corrección: actualiza automáticamente los paquetes vulnerables a versiones seguras
• 📈 Análisis de tendencias: realiza un seguimiento de las tendencias de vulnerabilidades a lo largo del tiempo
• ⚡ Modo de vigilancia: monitorización en tiempo real de nuevas vulnerabilidades
• 💾 Almacenamiento en base de datos: datos históricos de escaneos y análisis

🔮 Planes futuros

• 🐳 Escaneo de contenedores: detección de vulnerabilidades en imágenes Docker
• 🌐 Panel web: interfaz centralizada de monitorización de seguridad
• 🔌 Sistema de plugins: arquitectura extensible para integraciones personalizadas

¿Tienes solicitudes de funciones? Abre un issue ¡y lo discutimos!

🏗️ Arquitectura y rendimiento

Vulfy está construido con el rendimiento y la fiabilidad como principios fundamentales:

• ⚡ Diseño asíncrono primero: construido sobre Tokio para una concurrencia máxima
• 🔧 Patrón de estrategia: analizadores conectables para diferentes gestores de paquetes
• 🚦 Limitación de velocidad: uso respetuoso de la API con límites configurables
• 💾 Eficiencia de memoria: analizadores de streaming para proyectos grandes
• 🛡️ Resiliente a errores: manejo correcto de errores de red y de análisis
• 🔍 Versionado semántico: comparación adecuada de versiones mediante la crate semver

📖 Análisis profundo de la arquitectura - Detalles técnicos de implementación

🤝 Contribuciones

¡Agradecemos las contribuciones! Ya sea corrección de errores, nuevas funciones o compatibilidad con ecosistemas.

Inicio rápido

git clone https://github.com/mindPatch/vulfy.git
cd vulfy
cargo build
cargo test

Directrices para contribuciones

• Sigue las mejores prácticas de Rust y ejecuta cargo clippy
• Añade pruebas para las nuevas funciones
• Actualiza la documentación para los cambios visibles para el usuario
• Mantén los mensajes de commit claros y descriptivos

📖 Guía de contribución - Instrucciones detalladas para contribuir

🆘 Soporte y comunidad

Obtener ayuda

• 🐛 Informes de errores: Crea un issue
• 💡 Solicitudes de funciones: Inicia un debate
• ❓ Preguntas: Debates de GitHub
• 📖 Documentación: Documentación completa

Solución rápida de problemas

• "No package files found" - Asegúrate de estar en un directorio de proyecto con archivos de paquete compatibles
• "Network connection failed" - Comprueba la conectividad a Internet; Vulfy necesita acceso a la API de OSV.dev
• "Permission denied" - Asegúrate de que el binario vulfy sea ejecutable: chmod +x vulfy

📄 Licencia

Este proyecto está licenciado bajo la Licencia MIT; consulta el archivo LICENSE para más detalles.

🙏 Agradecimientos

• OSV.dev - Base de datos exhaustiva de vulnerabilidades
• Comunidad de Rust - Increíble ecosistema de crates y herramientas
• Colaboradores - Todos los que hacen que Vulfy sea mejor