• Scansione dei lockfile — Rileva pacchetti npm e PyPI compromessi in package-lock.json, pnpm-lock.yaml, yarn.lock, bun.lock, bun.lockb, poetry.lock, Pipfile.lock e requirements.txt
• Controlli IOC di sistema — Analizza processi in esecuzione, artefatti del filesystem, connessioni di rete e percorsi di persistenza noti per indicatori di compromissione
• Zero dipendenze runtime — Utilizza solo i moduli integrati di Node.js/Bun (fs, path, child_process, os). Lo scanner non aumenta il rischio della tua supply chain
• Molteplici formati di output — Testo leggibile dall'uomo, JSON leggibile dalle macchine e SARIF per GitHub Code Scanning
• Nativo per CI/CD — Codici di uscita progettati per l'automazione (0 = pulito, 1 = rilevamenti, 2 = errore)
• Indipendente dal percorso — Accetta qualsiasi directory; per impostazione predefinita usa la directory di lavoro corrente
• Database basato su campagne — Le nuove ondate di attacco vengono aggiunte come campagne distinte in src/db.ts; aggiorna il file ed esegui di nuovo

Installazione

Nessuna installazione richiesta. Esegui direttamente con il tuo package runner preferito:

Installazione globale (opzionale):

Dal sorgente:

Utilizzo

Analizza il progetto corrente

Analizza un percorso specifico

Output JSON per l'automazione

Output SARIF per GitHub Code Scanning

Codici di uscita CI/CD

Integrazione CI/CD

GitHub Actions (output di testo)

GitHub Actions (caricamento SARIF)

Formati di output

Esempio di estratto JSON:

Codici di uscita

Aggiungere nuove campagne

Quando viene scoperto un nuovo attacco alla supply chain, aggiorna src/db.ts:

1. Aggiungi un nuovo array CompromisedVersion[] con i pacchetti e le versioni colpiti
2. Aggiungi un nuovo oggetto Campaign all'array CAMPAIGNS, includendo identificativi CVE/GHSA, gravità, descrizione, URL di riferimento e indicatori IOC
3. La funzione buildLookup() ricostruisce automaticamente la mappa di ricerca alla successiva esecuzione

Non è richiesta alcuna fase di ricompilazione quando si usa Bun. Le modifiche a src/db.ts hanno effetto immediato con bun run src/cli.ts. Per il pacchetto npm, esegui pnpm run build dopo la modifica.

Considerazioni sulla sicurezza

• Zero dipendenze runtime: Lo scanner utilizza solo moduli integrati di Node.js/Bun. Non scarica né esegue codice di terze parti in fase di runtime, eliminando il rischio che lo scanner stesso diventi un vettore di compromissione.

• pnpm come package manager: pnpm utilizza lockfile rigorosi, non esegue script di ciclo di vita per impostazione predefinita e supporta l'archiviazione content-addressable. Queste proprietà riducono la superficie d'attacco rispetto ad altri package manager.

• Impostazioni .npmrc consigliate: Per la massima protezione durante l'installazione dei pacchetti, aggiungi quanto segue al tuo .npmrc di progetto o globale:

  root@kitploit:~

  ignore-scripts=true
  engine-strict=true
  

• Nessuna chiamata di rete: shai-scan non contatta server esterni, non scarica firme e non richiede una chiave API. Tutti i dati delle campagne sono inclusi nel pacchetto.

Pacchetti colpiti (campagna corrente)

I seguenti pacchetti e versioni sono noti per essere compromessi in CVE-2026-45321 (Mini Shai-Hulud Wave 4). Questo è un sottoinsieme rappresentativo; l'elenco completo è mantenuto in src/db.ts.

Licenza

MIT. Vedi LICENSE per i dettagli.

Disclaimer

shai-scan è uno strumento di rilevamento, non un sostituto di audit di sicurezza completi, revisione delle dipendenze o piattaforme di threat intelligence. Identifica le versioni compromesse note in base al database incluso; gli attacchi alla supply chain nuovi o zero-day potrebbero non essere rilevati finché non viene aggiunta una campagna. Pratica sempre la difesa in profondità: audita le dipendenze, blocca le versioni, verifica la provenienza e monitora le pipeline CI/CD.