awesome-nodejs-security — Diretório selecionado de ferramentas de segurança Node.js, analisadores estáticos, scanners de vulnerabilidades e recursos educacionais abrangendo OWASP Top 10, segurança da cadeia de suprimentos e práticas de codificação segura. | Kitploit

eslint-plugin-security - Regras ESLint para Segurança Node. Este projeto ajuda a identificar possíveis hotspots de segurança, mas encontra muitos falsos positivos que precisam de triagem humana.
tslint-plugin-security - Regras TSLint para Segurança Node. Este projeto ajuda a identificar possíveis hotspots de segurança, mas encontra muitos falsos positivos que precisam de triagem humana.
safe-regex - detecta expressões regulares potencialmente catastróficas de tempo exponencial, limitando a altura da estrela a 1.
vuln-regex-detector - Este módulo permite verificar se uma regex é vulnerável. Em JavaScript, expressões regulares (regexes) podem ser "vulneráveis": suscetíveis a backtracking catastrófico. Se sua aplicação for usada no lado do cliente, isso pode ser um problema de desempenho. No lado do servidor, pode expô-lo a Negação de Serviço por Expressão Regular (REDOS).
regolith - Biblioteca Regex para TypeScript feita para prevenir ataques ReDoS. Criei bindings TypeScript para a biblioteca Regex do Rust para prevenir ataques de Negação de Serviço por Expressão Regular.
git-secrets - Impede que você armazene segredos e credenciais em repositórios git.
DevSkim - DevSkim é um conjunto de plugins de IDE e regras que fornecem capacidades de "linting" de segurança. Também tem suporte para CLI, podendo ser integrado em pipeline CI/CD.
ban-sensitive-files - Verifica nomes de arquivos a serem armazenados em relação a uma biblioteca de regras de nomes para evitar armazenar arquivos confidenciais no Git. Verifica alguns arquivos por conteúdos sensíveis (por exemplo, authToken dentro do arquivo .npmrc).
NodeJSScan - Um scanner de código de segurança estático para aplicações Node.js. Inclui uma interface agradável que pode apontar onde está o problema e como corrigi-lo.
NodeSecure CLI - CLI Node.js que permite analisar profundamente a árvore de dependências de um pacote npm ou diretório.
Trust But Verify - TBV compara um pacote npm com seu repositório fonte para garantir que o artefato resultante seja o mesmo.
lockfile-lint - lint de lockfiles para melhorar a segurança e políticas de confiança para manter-se limpo de injeção de pacotes maliciosos e outras configurações inseguras.
pkgsign - Uma ferramenta CLI para assinar e verificar pacotes npm e yarn.
semgrep - Análise estática de código aberto, offline e fácil de personalizar para muitas linguagens. Alguns outros nesta lista (NodeJSScan) usam semgrep como mecanismo.
npm-scan - Uma ferramenta extensível de varredura de vulnerabilidades baseada em heurística para pacotes npm instalados.
js-x-ray - Scanner SAST JavaScript e Node.js capaz de detectar vários padrões de código malicioso conhecidos (import inseguro, declaração insegura, RegEx inseguro, literais codificados, códigos minificados e ofuscados).
cspscanner - CSP Scanner ajuda desenvolvedores e especialistas em segurança a inspecionar e avaliar facilmente a Política de Segurança de Conteúdo (CSP) de um site.
eslint-plugin-anti-trojan-source - Plugin ESLint para detectar e prevenir ataques Trojan Source de entrar em sua base de código.
sdc-check - Pequena ferramenta para informá-lo sobre riscos potenciais na lista de dependências do seu projeto.
fix-lockfile-integrity - Uma ferramenta CLI para corrigir hash de integridade fraco (sha1) para um hash de integridade mais seguro (sha512) em seu lockfile npm.
Bearer - Uma ferramenta CLI para encontrar e ajudar a corrigir riscos de segurança e privacidade em seu código de acordo com OWASP Top 10.
GuardDog - GuardDog é uma ferramenta CLI para identificar pacotes PyPI e npm maliciosos.
repolyze - Analise um repositório de código fonte git para sinais de saúde e informações vitais do projeto.

npq - Instale pacotes com segurança com npm ou yarn auditando-os como parte do seu processo de instalação.
snyk - Snyk ajuda você a encontrar, corrigir e monitorar vulnerabilidades conhecidas em dependências Node.js npm, Ruby e Java, tanto ad hoc quanto como parte do seu sistema CI (Build).
node-release-lines - API de introspecção para metadados de release do Node.js. Fornece informações sobre linhas de release, seu status relativo e detalhes de cada release.
auditjs - Audita um arquivo package.json do NPM para identificar vulnerabilidades conhecidas usando o OSSIndex.
npm-audit - Executa uma auditoria de segurança baseada no seu package.json usando npm.
npm-audit-resolver - Gerencie resultados do npm-audit, incluindo opções para ignorar problemas específicos de forma clara e auditável.
gammaray - Executa uma auditoria de segurança baseada no seu package.json usando os dados de vulnerabilidade do Node.js Security Working Group.
patch-package - Permite que autores de aplicações criem correções para dependências npm (em node_modules) sem bifurcar ou esperar por PRs mesclados, criando e aplicando patches.
check-my-headers - Maneira rápida e simples de verificar quaisquer cabeçalhos HTTP.
clawsearch-guard - Verificação de segurança pré-instalação para habilidades de agente de IA e pacotes npm. Executa análise de Trust Score antes da instalação para detectar padrões maliciosos, exfiltração de dados e injeção de prompt.
is-website-vulnerable - encontra vulnerabilidades de segurança publicamente conhecidas em bibliotecas JavaScript frontend de um site.
joi-security - Detecta falhas de segurança em esquemas de validação Joi.
confused - Ferramenta para verificar vulnerabilidades de confusão de dependências em múltiplos sistemas de gerenciamento de pacotes. Veja Dependency Confusion: How I Hacked Into Apple, Microsoft and Dozens of Other Companies para referência sobre a razão desta ferramenta.
nodejs-cve-checker - Uma ferramenta simples que valida se CVEs foram publicadas no NVD após um Node.js Security Release.
zizmor - Análise estática para GitHub Actions e workflows CI/CD.
releaserun - Escaneie dependências do projeto por runtimes em fim de vida, CVEs conhecidos e notas de saúde de versão em mais de 300 produtos.
CVE PoC Search - Pesquise repositórios públicos de prova de conceito no GitHub por identificador CVE.

hijagger - Verifica todos os mantenedores de todos os pacotes npm e PyPI em busca de pacotes sequestráveis através de re-registro de domínio.
snync - Mitigue preocupações de segurança com riscos de confusão de dependências na cadeia de suprimentos.
NopPP - No Prototype Pollution - Pequeno auxiliar para proteger contra vulnerabilidades de Poluição de Protótipo em sua aplicação, independentemente de serem introduzidas em seu próprio código ou em código de terceiros.
anti-trojan-source - Detecte ataques trojan source que usam ataques bidi unicode para injetar código malicioso.
express-limiter - Middleware de limitação de taxa para aplicações Express construído sobre redis.
limits - Middleware simples express/connect para definir limite de tamanho de upload, timeout de requisição, etc.
rate-limiter-flexible - Limitador de taxa rápido, flexível e amigável por chave e proteção contra DDoS e ataques de força bruta em Memória de processo, Cluster, Redis, MongoDb, MySQL, PostgreSQL em qualquer escala. Exemplos para Express e Koa incluídos.
tor-detect-middleware - Middleware de detecção Tor para express
express-enforces-ssl - Força SSL para projetos Node.js baseados em Express. No entanto, é altamente recomendável lidar com SSL e regras HTTP globais em um proxy front-end.
bourne - Substituto para JSON.parse() com proteção contra envenenamento de protótipo.
sigcli - Camada de autenticação para agentes de IA. Proxy MITM local em 127.0.0.1 intercepta HTTPS e injeta credenciais (cookies, tokens bearer, cabeçalhos customizados) de forma transparente — agentes de IA autenticam sem jamais ver segredos. Armazenamento criptografado AES-256-GCM, SSO de navegador, 4 estratégias de autenticação.
fastify-rate-limit - Um limitador de taxa de baixa sobrecarga para suas rotas.
secure-json-parse - Substituto para JSON.parse() com proteção contra envenenamento de protótipo.
express-brute - Um middleware de proteção contra força bruta para rotas express que limita requisições recebidas, aumentando o atraso a cada requisição em uma sequência semelhante a Fibonacci.
allowed-scripts - Execute scripts de ciclo de vida npm install permitidos.
ses - Um shim para JavaScript Hardened, um modo de linguagem que mitiga ataques de poluição de protótipo e suporta confinar com segurança múltiplos inquilinos em um único realm JavaScript, dotando cada um com objetos de API hardened.
lavamoat - Mitiga ataques de cadeia de suprimentos usando ses para confinar dependências de terceiros e limitar seu acesso a poderes de host com base em políticas geradas por análise estática de confiança no primeiro uso.
moddable - Implementa JavaScript Hardened como o modelo de segurança para sistemas embarcados.
is-my-node-vulnerable - Pacote que verifica se sua instalação do Node.js é vulnerável a vulnerabilidades de segurança conhecidas.
@lavamoat/preinstall-always-fail - Pacote npm para afirmar se scripts de pré-instalação ou pós-instalação estão sendo executados em seus workflows npm ou yarn.
FCaptcha - CAPTCHA auto-hospedado com análise comportamental que detecta bots, agentes de IA de visão e navegadores headless. Inclui servidor Node.js com prova de trabalho SHA-256.
are-scripts-enabled - Pacote npm para afirmar se scripts de pré-instalação ou pós-instalação estão sendo executados em seus workflows npm ou yarn.
@w-r-l/verify - Verifique a integridade criptográfica de bundles de arquivo web WACZ. Verifica assinaturas Ed25519 e timestamps RFC 3161.
pompelmi - Varredura de upload de arquivo local-first para Node.js para inspecionar arquivos não confiáveis antes do armazenamento.
verifyfetch - Verificação de integridade baseada em SRI e downloads retomáveis para arquivos grandes. Protege contra comprometimento de CDN e ataques de cadeia de suprimentos no navegador.

Coleção de incidentes de segurança que aconteceram nas comunidades relacionadas ao Node.js, JavaScript e npm com artigos de apoio:| Date | Name | Reference Links | |-------------------|-----------------------------------------------------------------------------------------------------------------------------------------------------------------|-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 2026 May 11 | Pacotes npm do TanStack Comprometidos via campanha Shai-Hulud | Snyk, StepSecurity, Socket | 2026 Apr 29 | Stealer baseado em Bun atinge pacote npm SAP @cap-js | Snyk | 2026 Mar 31 | Pacote npm Axios Comprometido: Ataque à Cadeia de Suprimentos Entrega RAT Multiplataforma | Snyk, Axios post-mortem on GitHub issue, Mandaint report on UNC1069 involvement in Axios compromise | 2025 Sep 25 | Servidor MCP Malicioso no npm postmark-mcp Coleta E-mails | Snyk | 2025 Sep 15 | Malware de pacote npm Shai-Hulud | Snyk, ReversingLabs, Aikido | 2025 Sep 8 | Mantenedor do Qix comprometido via campanha de phishing causando malware em debug chalk e muitos outros pacotes | Snyk | 2025 Aug 27 | Compromisso de versão maliciosa do pacote Nx e weaponização de ferramentas de codificação de IA de LLM e agentes | Snyk | 2025 Jul 25 | Pacotes Toptal foram comprometidos levando ao roubo de Token do GitHub e sistemas destruídos | Arstechnica | 2025 Jul 19 | Mantenedores do ESLint Config Prettier são comprometidos, espalham malware e infectam outros mantenedores também | Snyk, Socket, Safedep | 2025 Jun 25 | Grupo norte-coreano BeaverTail lança 35 pacotes de malware npm | Socket | 2025 Jun 12 | Pacote npm @react-native-aria/focus e outros pacotes do namespace @react-native-area foram considerados maliciosos | Aikido, Bleeping Computer | 2025 May 15 | Pacote npm os-info-checker-es6 utiliza esteganografia unicode no Google Calendar como comando e controle | Veracode | 2025 May 8 | Pacote rand-user-agent com 45.000 downloads comprometido em ataque à cadeia de suprimentos para RAT malicioso | Aikido | 2025 May 7 | Pacotes npm Maliciosos Infectam Mais de 3.200 Usuários do Cursor com Backdoor | Socket | 2025 May 2 | Typosquatting de nomes de pacotes populares .NET, Python e outros | Socket | 2025 Apr 15 | Hackers russos fazem typosquat de express-exp | Safety | 2025 Apr 10 | Pacote npm malicioso pdf-to-office | ReversingLabs | 2025 Apr 5 | Hackers norte-coreanos implantam malware BeaverTail via 11 pacotes npm maliciosos | socket | 2025 Mar 26 | Pacotes maliciosos ethers-provider2 e ethers-providerz | ReversingLabs | 2025 Mar 11 | Grupo Lazarus norte-coreano tem como alvo pacotes npm is-buffer-validator, yoojae-validator, event-handle-package, array-empty-validator, react-event-dependency e auth-validator | socket | 2025 Feb 26 | Código Malicioso Oculto em Pacotes NPM | cycode | 2025 Jan 14 | Confusão de comando npm | Checkmarx | 2025 Jan 13 | Pacotes typosquatted para Chalk e Chokidar abrigam trojans backdoor | socket | 2024 Dec 20 | @rspack/core e @rspack/cli com 400k downloads semanais foram comprometidos devido a roubo de token npm e usados para publicar pacotes maliciosos para mineração de criptomoeda monero | rspack release notes, sonatype, Socket | 2024 Dec 11 | Pacote npm Malicioso @typescript-eslint/eslint-plugin exfiltra dados em ataque de typosquatting | Socket | 2024 Dec 3 | Ataque à Cadeia de Suprimentos Detectado na Biblioteca web3.js do Solana @solana/web3.js | Socket | 2024 Nov 12 | "node-request-ip", "request-ip-check" e "request-ip-validator" são utilitários falsos de verificação de IP no npm que visam criptomoeda e instalam trojans | sonatype | 2024 Oct 31 | Pacote npm Lottie Player comprometido para roubo de carteira de criptomoedas | Snyk | 2024 Oct 31 | Campanha de typosquat visando Puppeteer, Bignum.js e cerca de 137 outras bibliotecas de criptomoedas | Phylum | 2024 Oct 28 | Campanha de confusão de dependência usada em uma segurança de cadeia de suprimentos npm aproveitada para violar empresa Fortune 500 | https://www.landh.tech/blog/20241028-hidden-supply-chain-links/ | 2024 Oct 4 | Pacotes npm falsificados lodasher, them4on, laodasher visando backdoor em usuários Windows com um binário AnyDesk modificado | Sonatype | 2024 Jul 16 | string-width-cjs e outros: Mantenedor Suspeito Revela Fios de Ataque à Cadeia de Suprimentos npm | Snyk | 2024 Jul 11 | noblox-ts starjacking e QuasarRAT no npm | stacklok | 2024 Jun 17 | ua-parser-js muda para AGPL+comercial em movimento de "rug pull" | Adventures in Nodeland | 2024 Jun 11 | Pacote npm cors-parser oculta backdoor multiplataforma em arquivos PNG | Sonatype | 2024 Jun 03 | Ataque de envenenamento de cache do registro npm | landh.tech | 2024 Apr 26 | Entrevistas de emprego falsas visam desenvolvedores com novo backdoor Python | Bleeping Computer | 2024 Apr 16 | Tokens Tea e desenvolvedores abusando da infraestrutura OSS para monetização | Sonatype | 2024 Feb 6 | Pacote npm malicioso noblox.js-proxy-server se passa por Noblox.js, visando usuários Roblox para roubo de dados | Socket | 2024 Jan 25 | npm inundado com 748 pacotes que armazenam filmes | Sonatype | 2024 Jan 3 | Um pacote everything com dependências em todo o registro impede que pacotes sejam cancelados | SC Media | 2023 Dec 14 | Ataque de segurança de cadeia de suprimentos Ledger introduzindo malware crypto drainer (@ledgerhq/connect-kit) | Sonatype, Tweets 1 2 3 4 5 6 7 8 | 2023 Sep 27 | Commits falsificados do Dependabot roubam tokens do GitHub e injetam malware em arquivos JavaScript | Checkmarx | 2023 Jun 27 | Manifest Confusion - um novo bug divulgado publicamente no gerenciador de pacotes npm demonstrando inconsistência de metadados de pacote | Darcy Clarke's blog | 2023 Jun 23 | Atacantes norte-coreanos exploram engenharia social e ataques à cadeia de suprimentos no npm | Phylum | 2023 Jun 15 | Ataque à Cadeia de Suprimentos Explora Buckets S3 Abandonados para Distribuir Binários Maliciosos para o pacote npm bignum | The Hacker News, Checkmarx | 2023 Jun 06 | Pacotes recomendados pelo ChatGPT podem ser explorados como vetor de ataque de segurança de cadeia de suprimentos | Vulcan | 2023 Feb 16 | Pesquisadores Sequestram Pacote NPM Popular com Milhões de Downloads | Illustria on The Hacker News | 2023 Feb 10 | Pesquisadores Descobrem Código Malicioso Ofuscado em Pacotes Python PyPI, com evidências também no ecossistema npm | The Hacker News | 2023 Jan 29 | Phylum Identifica 137 Pacotes npm Maliciosos | phylum | 2022 Nov 29 | Malware npm invisível pode se esconder em versões elaboradas e contornar as verificações de segurança do npm audit | JFrog | 2022 Nov 24 | Equipe Phylum captura pacote npm malicioso imagecompress-mini que alega ser uma ferramenta de compressão de imagem | Louisw Lang on Twitter | 2022 Oct 12 | Segurança da Aqua descobre falha no npm que permite divulgação de pacotes npm hospedados privadamente no registro | Aqua | 2022 Oct 07 | LofyGang Distribuiu ~200 Pacotes NPM Maliciosos para Roubar Dados de Cartão de Crédito | TheHackerNews | 2022 Sep 23 | Exchange de Criptomoedas Popular dYdX Teve Sua Conta NPM Hackeada | Mend | 2022 Jul 29 | pacotes maliciosos small-sm, pern-valids, lifeculer e proc-title visam roubar informações de cartão de crédito e tokens do Discord | darkreading | 2022 May 26 | tokens oAuth do GitHub roubados levam a violação de segurança npm, comprometendo metadados de contas de usuário, pacotes privados e senhas em texto simples em logs | GitHub | 2022 May 24 | pacotes npm maliciosos explorando ataques de confusão de dependência | Snyk, Snyk | 2022 May 23 | pacotes npm sequestrados devido a domínios expirados | TheRegister | 2022 Apr 05 | Novas Falhas no npm Permitir que Atacantes Visem Melhor Pacotes para Assunção de Conta | Aqua | 2022 Apr 26 | plantio de pacote npm | Aqua, The Hacker News | 2022 Mar 31 | Mais protestware de styled-components | Checkmarx Security blog | 2022 Mar 18 | Mais protestware de es5-ext e event-source-pollyfill | Snyk advisory for event-source-pollyfill, es5-ext commit, ArsTechnica | | 2022 March 16 | Módulo peacenotwar sabota desenvolvedores npm no pacote node-ipc para protestar contra a invasão da Ucrânia | Snyk blog, Darkreading, SC Magazine | | 2022 Mar 7 | Pacotes maliciosos pegos exfiltando dados via serviços legítimos de webhook | Checkmarx Security blog | | 2022 Feb 22 | 25 Bibliotecas JavaScript Maliciosas devido a ataques de typosquatting | TheHackerNews | | 2022 Feb 11 | 2.818 contas npm usam endereços de e-mail com domínios expirados | TheRecord | | 2021 Dec 08 | 17 bibliotecas JavaScript continham código malicioso para coletar e roubar tokens de acesso do Discord e variáveis de ambiente dos computadores dos usuários - | TheRecord | | 2021 December 01 | O trojan Bladabindi e malware RAT | Sonatype | | 2021 November 04 | pacotes coa e rc - Biblioteca npm popular 'coa' foi sequestrada hoje com código malicioso injetado, impactando efemeramente pipelines React ao redor do mundo | Bleepingcomputer, the record, npm tweet, npm tweet for rc. | | 2021 October 27 | noblox.js-proxy e noblox.js - pacote npm typosquatted que visa usuários do pacote npm oficial de API e SDK Roblox (noblox.js) | the register | | 2021 October 22 | ua-parser-js - Versões de um pacote NPM popular chamado ua-parser-js foram encontradas contendo código malicioso | Cybersecurity and Infrastructure Security Agency (CISA), github issue, IOCs, portswigger, theregister | | 2021 September 02 | pac-resolver - pode permitir que agentes de ameaças na rede local executem código arbitrário dentro do seu processo Node.js sempre que ele tentar fazer uma requisição HTTP | arstechnica.com | | 2021 August 07 | processo de propriedade de pacote npm repercutindo e expondo potenciais vetores para riscos de segurança de cadeia de suprimentos | Twitter | | 2021 April 13 | Novo malware Linux, macOS oculto em pacote NPM falso Browserify: web-browserify | Bleepingcomputer | | 2020 December 02 | jdb.js - db-json.js - pacotes npm maliciosos pegos instalando trojans de acesso remoto | zdnet.com, Bleepingcomputer | | 2020 November 09 | pacote npm malicioso discord - Pacote npm pego roubando arquivos sensíveis do Discord e navegador | sonatype, zdnet | | 2020 November 03 | twilio-npm - pacote npm malicioso abre backdoors nos computadores de programadores | zdnet | | 2020 August 29 | fallguys - pacote malicioso roubando arquivos sensíveis | zdnet | | 2020 April 27 | is-promise - biblioteca de uma linha quebra um ecossistema | Forbes Lindesay - Maintainer post-mortem, snyk's postmortem | | 2019 August 22 | bb-builder - pacote malicioso visando sistemas Windows para exfiltrar informações e enviar para um serviço remoto | Snyk, Reversing Labs, Bleeping Computer | | 2019 June 05 | EasyDEX-GUI - código malicioso encontrado no pacote npm event-stream | npm, snyk, komodo announcement | | 2018 November 27 | event-stream - código malicioso encontrado no pacote npm event-stream | github issue snyk, snyk's postmortem, schneid, intrinsic, npm, jayden, hillel wayne's postmortem | | 2018 July 12 | eslint - pacotes maliciosos encontrados no pacote npm eslint-scope e eslint-config-eslint | github issue, eslint tweet, eslint's postmortem, nodesource's postmortem, npm's statement | | 2018 May 02 | getcookies - pacote malicioso getcookies incorporado em pacotes express relacionados de nível superior | GitHub issue, npm, bleepingcomputer.com, Snyk’s getcookies vulnerability page, Hacker News | | 2018 Feb 13 | conta de mantenedor com acesso ao pacote npm conventional-changelog comprometida e publicou malware por 1 dia e 11 horas | conventional-changelog repository update | 2017 August 02 | crossenv - pacote malicioso de typosquatting crossenv rouba variáveis de ambiente | CJ blog on typosquat packages, Typosquatting research paper, bleepingcomputer.com, Snyk’s crossenv vulnerability page, Hacker News | | 2016 March 22 | left-pad - como um desenvolvedor quebrou Node, Babel e milhares de projetos em 11 linhas de JavaScript | left-pad.io, The Register, qurtaz |Notas de acompanhamento:

awesome-nodejs-security

Mais Populares

Ferramentas

Hardening de Frameworks Web

GitHub Actions e Segurança CI/CD

Análise Estática de Código

Teste Dinâmico de Segurança de Aplicações

Validação de Entrada e Codificação de Saída

Composição Segura

CSRF

Vulnerabilidades e Avisos de Segurança

Hardening de Segurança

Fontes de Dados

Incidentes de Segurança

Problemas de segurança na cadeia de suprimentos de ProtestwareA seguir está uma lista de protestware conhecidos que abrangem também outros ecossistemas:

Incidentes de segurança específicos do npm e JavaScript e problemas de segurança na cadeia de suprimentos

Educacional

Boletins Informativos

Artigos

Artigos de Pesquisa

Livros

Roadmaps

Empresas

Playground de Hacking

Contribuindo

Licença