cve-lite-on-pi

CVE Lite CLI को pi मोनोरिपो के विरुद्ध चलाने और इसमें क्या पाया गया, इसका एक संक्षिप्त लेख।

पृष्ठभूमि

इस प्रयोग की प्रेरणा लेख **"OWASP CVE Lite CLI – आपके प्रोजेक्ट्स में कमजोरियों को स्कैन करने के लिए नया टूल" (साइबरसिक्योरिटी न्यूज़) से मिली।

CVE Lite CLI क्या है?

CVE Lite CLI एक डेवलपर-अनुकूल, स्थानीय कमांड-लाइन स्कैनर है जो JavaScript/TypeScript प्रोजेक्ट्स के लिए है। यह आपकी निर्भरताओं को स्थापित या चलाने के बजाय, आपके लॉकफ़ाइल (package-lock.json, pnpm-lock.yaml, yarn.lock, या bun.lockb) को पढ़ता है, प्रत्येक हल किए गए पैकेज संस्करण को एकत्र करता है, और उन संस्करणों को OSV (ओपन सोर्स कमजोरियाँ) डेटाबेस के विरुद्ध जाँचता है। फिर यह प्राथमिकता वाले निष्कर्ष और कॉपी-एंड-रन फिक्स कमांड प्रिंट करता है, और जब तत्काल समस्याएँ मौजूद होती हैं तो गैर-शून्य स्थिति के साथ बाहर निकलता है — जिससे इसे CI में शामिल करना आसान हो जाता है। यह npm, pnpm, Yarn और Bun का समर्थन करता है।

हमने क्या किया

हमने pi मोनोरिपो के विरुद्ध CVE Lite CLI चलाया और पूरी यात्रा — सेटअप, स्कैन पाइपलाइन, खोज, और सुझाई गई सुधार — को pi-main-cve-lite-journey.md में दर्ज किया।

सलाह स्रोत: OSV (https://api.osv.dev) · पार्स किए गए पैकेज: package-lock.json से 443

मुख्य खोज

1 गंभीर कमजोरी — [email protected]

सुझाया गया सुधार (लागू नहीं किया गया — यह केवल रिपोर्ट अध्ययन है):

npm install -w packages/agent -w packages/ai -w packages/coding-agent [email protected]

पूर्ण रिपोर्ट के लिए स्कैन पाइपलाइन आंतरिक संरचना, सत्यापन विवरण, जोखिम-आधारित शमन और दायरा/सीमाएँ देखें: pi-main-cve-lite-journey.md।

सामग्री

• README.md — यह अवलोकन
• pi-main-cve-lite-journey.md — विस्तृत स्कैन यात्रा और निष्कर्ष रिपोर्ट

यह भंडार एक बार की सुरक्षा स्कैन को शैक्षिक उद्देश्यों के लिए दस्तावेज़ित करता है। अपस्ट्रीम pi प्रोजेक्ट पर कोई सुधार लागू नहीं किया गया।