cve-lite-on-pi

Краткий отчет о запуске CVE Lite CLI против монорепозитория pi и о том, что было обнаружено.

Предыстория

Этот эксперимент был вдохновлен статьей "OWASP CVE Lite CLI – New Tool to Scan for Vulnerabilities in Your Projects" (CyberSecurityNews).

Что такое CVE Lite CLI?

CVE Lite CLI — это удобный для разработчиков локальный сканер командной строки для проектов на JavaScript/TypeScript. Вместо установки или запуска ваших зависимостей он читает ваш lockfile (package-lock.json, pnpm-lock.yaml, yarn.lock или bun.lockb), собирает все разрешённые версии пакетов и проверяет их по базе данных OSV (Open Source Vulnerabilities). Затем он выводит приоритетные результаты и команды для исправления, которые можно скопировать и запустить, и завершается с ненулевым кодом, если существуют срочные проблемы — что упрощает его внедрение в CI. Он поддерживает npm, pnpm, Yarn и Bun.

Что мы сделали

Мы запустили CVE Lite CLI против монорепозитория pi и записали полный процесс — настройку, конвейер сканирования, обнаружение и предлагаемое исправление — в pi-main-cve-lite-journey.md.

Источник рекомендаций: OSV (https://api.osv.dev) · Проанализировано пакетов: 443 из package-lock.json

Ключевая находка

1 КРИТИЧЕСКАЯ уязвимость — [email protected]

Предлагаемое исправление (не применено — это исследование только для отчёта):

npm install -w packages/agent -w packages/ai -w packages/coding-agent [email protected]

Полный отчёт о внутреннем устройстве конвейера сканирования, деталях проверки, мерах по снижению риска и ограничениях см. в pi-main-cve-lite-journey.md.

Содержание

• README.md — этот обзор
• pi-main-cve-lite-journey.md — подробный отчёт о процессе сканирования и результатах

Этот репозиторий документирует одноразовое сканирование безопасности в образовательных целях. Никаких исправлений в исходный проект pi не вносилось.