cve-lite-on-pi

Um breve relato sobre a execução do CVE Lite CLI no monorepo pi e o que foi encontrado.

Contexto

Este experimento foi motivado pelo artigo "OWASP CVE Lite CLI – Nova ferramenta para escanear vulnerabilidades em seus projetos" (CyberSecurityNews).

O que é o CVE Lite CLI?

O CVE Lite CLI é um scanner de linha de comando local e amigável para desenvolvedores, voltado para projetos JavaScript/TypeScript. Em vez de instalar ou executar suas dependências, ele lê o seu lockfile (package-lock.json, pnpm-lock.yaml, yarn.lock ou bun.lockb), coleta todas as versões resolvidas de pacotes e verifica essas versões no banco de dados OSV (Open Source Vulnerabilities). Em seguida, ele exibe descobertas priorizadas e comandos de correção prontos para copiar e executar, e encerra com código diferente de zero quando existem problemas urgentes — facilitando a integração em CI. Ele oferece suporte a npm, pnpm, Yarn e Bun.

O que fizemos

Executamos o CVE Lite CLI no monorepo pi e registramos toda a jornada — configuração, pipeline de escaneamento, descoberta e correções sugeridas — em pi-main-cve-lite-journey.md.

Fonte do advisory: OSV (https://api.osv.dev) · Pacotes analisados: 443 de package-lock.json

Descoberta principal

1 vulnerabilidade CRÍTICA — [email protected]

Correção sugerida (não aplicada — este é um estudo apenas para relatório):

npm install -w packages/agent -w packages/ai -w packages/coding-agent [email protected]

Consulte o relatório completo para ver os detalhes internos do pipeline de escaneamento, detalhes de validação, mitigações baseadas em risco e escopo/limitações: pi-main-cve-lite-journey.md.

Conteúdo

• README.md — esta visão geral
• pi-main-cve-lite-journey.md — o relatório detalhado da jornada de escaneamento e descobertas

Este repositório documenta um escaneamento de segurança pontual para fins educacionais. Nenhuma correção foi aplicada ao projeto pi upstream.