Verificatore di vulnerabilità

Questo strumento analizza un repository GitHub per rilevare vulnerabilità nelle dipendenze, esposizione di secret e configurazioni non sicure. Supporta ecosistemi principali (npm/yarn, Maven/Gradle, PyPI, RubyGems) e può eseguire la scansione di repository privati se è fornito un token di accesso. L’analisi si basa su avvisi CVE, banche dati di vulnerabilità OSS e rilevatori di secret basati su pattern per evidenziare problemi azionabili. La logica centrale inventaria i componenti del progetto, controlla CVEs e advisories, contrassegna versioni non sicure e rivede workflow e configurazioni dei container per pattern a rischio. Controlli avanzati opzionali includono generazione SBOM, override guidati da policy e soglie di gravità configurabili per adattarsi al profilo di rischio dell’organizzazione. Il valore risiede nel fornire un set di riscontri prioritario e remediation-ready per ingegneri di sicurezza, DevOps e pipeline CI/CD, con ubicazioni chiare e prove in codice, dipendenze e file di configurazione. Differenziatori includono copertura dell’ecosistema, output pronto per integrazione e punteggio personalizzabile allineato alle policy interne. Casi d’uso: verifica pre-fusione, audit post-commit e monitoraggio continuo per grandi repository.