• Varredura de lockfiles — Detecta pacotes npm e PyPI comprometidos em package-lock.json, pnpm-lock.yaml, yarn.lock, bun.lock, bun.lockb, poetry.lock, Pipfile.lock e requirements.txt
• Verificações de IOC do sistema — Examina processos em execução, artefatos do sistema de arquivos, conexões de rede e caminhos de persistência conhecidos em busca de indicadores de comprometimento
• Zero dependências em tempo de execução — Usa apenas módulos nativos do Node.js/Bun (fs, path, child_process, os). O scanner não aumenta o risco da sua cadeia de suprimentos
• Múltiplos formatos de saída — Texto legível por humanos, JSON legível por máquina e SARIF para o GitHub Code Scanning
• Nativo para CI/CD — Códigos de saída projetados para automação (0 = limpo, 1 = descobertas, 2 = erro)
• Independente de caminho — Aceita qualquer diretório; o padrão é o diretório de trabalho atual
• Banco de dados baseado em campanhas — Novas ondas de ataque são adicionadas como campanhas distintas em src/db.ts; atualize o arquivo e execute novamente

Instalação

Nenhuma instalação necessária. Execute diretamente com o executor de pacotes de sua preferência:

Instalação global (opcional):

A partir do código-fonte:

Uso

Escanear o projeto atual

Escanear um caminho específico

Saída JSON para automação

Saída SARIF para o GitHub Code Scanning

Códigos de saída para CI/CD

Integração com CI/CD

GitHub Actions (saída de texto)

GitHub Actions (upload SARIF)

Formatos de Saída

Exemplo de JSON:

Códigos de Saída

Adicionando Novas Campanhas

Quando um novo ataque à cadeia de suprimentos for descoberto, atualize src/db.ts:

1. Adicione uma nova matriz CompromisedVersion[] com os pacotes e versões afetados
2. Acrescente um novo objeto Campaign ao array CAMPAIGNS, incluindo identificadores CVE/GHSA, severidade, descrição, URLs de referência e indicadores IOC
3. A função buildLookup() reconstrói automaticamente o mapa de consulta na próxima execução

Nenhuma etapa de rebuild é necessária ao usar Bun. Alterações em src/db.ts entram em vigor imediatamente com bun run src/cli.ts. Para o pacote npm, execute pnpm run build após editar.

Considerações de Segurança

• Zero dependências em tempo de execução: O scanner usa apenas módulos nativos do Node.js/Bun. Ele não baixa nem executa código de terceiros em tempo de execução, eliminando o risco de o próprio scanner se tornar um vetor de comprometimento.

• pnpm como gerenciador de pacotes: o pnpm usa lockfiles estritos, não executa scripts de ciclo de vida por padrão e suporta armazenamento endereçável por conteúdo. Essas propriedades reduzem a superfície de ataque em comparação com outros gerenciadores de pacotes.

• Configurações recomendadas do .npmrc: Para proteção máxima ao instalar pacotes, adicione o seguinte ao seu projeto ou ao .npmrc global:

  root@kitploit:~

  ignore-scripts=true
  engine-strict=true
  

• Sem chamadas de rede: shai-scan não faz "phone home", não baixa assinaturas nem exige chave de API. Todos os dados de campanha acompanham o pacote.

Pacotes Afetados (Campanha Atual)

Os seguintes pacotes e versões são conhecidos por estar comprometidos na CVE-2026-45321 (Mini Shai-Hulud Wave 4). Esta é uma subamostra representativa; a lista completa é mantida em src/db.ts.

Licença

MIT. Consulte LICENSE para obter detalhes.

Aviso Legal

shai-scan é um auxílio de detecção, não um substituto para auditorias de segurança abrangentes, revisão de dependências ou plataformas de inteligência de ameaças. Ele identifica versões comprometidas conhecidas com base no banco de dados fornecido; ataques à cadeia de suprimentos novos ou zero-day podem não ser detectados até que uma campanha seja adicionada. Sempre pratique defesa em profundidade: audite dependências, fixe versões, verifique a proveniência e monitore pipelines de CI/CD.