cve-lite-on-pi

在 pi 单体仓库上运行 CVE Lite CLI 的简短报告及其发现。

背景

本实验的灵感来自文章
"OWASP CVE Lite CLI – 用于扫描项目中漏洞的新工具" （CyberSecurityNews）。

什么是 CVE Lite CLI？

CVE Lite CLI 是一个面向开发者的、本地的命令行扫描器，适用于 JavaScript/TypeScript 项目。它无需安装或运行你的依赖项，而是读取你的锁文件（package-lock.json、pnpm-lock.yaml、yarn.lock 或 bun.lockb），收集每个已解析的包版本，并对照 OSV（开源漏洞） 数据库检查这些版本。然后它会输出按优先级排序的发现和可复制运行的修复命令，当存在紧急问题时以非零状态退出——从而易于集成到 CI 中。它支持 npm、pnpm、Yarn 和 Bun。

我们的操作

我们对 pi 单体仓库运行了 CVE Lite CLI，并在 pi-main-cve-lite-journey.md 中记录了完整过程——包括设置、扫描流程、发现以及建议的修复措施。

漏洞来源： OSV（https://api.osv.dev）· 已解析的包数： 来自 package-lock.json 的 443 个

主要发现

1 个 CRITICAL（严重）漏洞 — [email protected]

建议修复（未应用——本报告仅为研究目的）：

npm install -w packages/agent -w packages/ai -w packages/coding-agent [email protected]

有关扫描流程内部细节、验证详情、基于风险的缓解措施以及范围/限制，请参阅完整报告：pi-main-cve-lite-journey.md。

目录

• README.md — 此概述
• pi-main-cve-lite-journey.md — 详细的扫描过程和发现报告

本仓库记录了一次用于教育目的的一次性安全扫描。未对上游 pi 项目应用任何修复措施。