GitHub 저장소의 의존성에 취약점이 있는지 확인하세요

14개 생태계의 잠금 파일 형식 30가지와 매니페스트 형식 7가지를 읽습니다. 모든 폴더가 대상이며, 모노레포와 워크스페이스도 포함됩니다. 잠금 파일이 없는 프로젝트는 매니페스트가 고정한 정확한 버전을 읽습니다. CocoaPods나 Conan처럼 확인할 수 없는 잠금 파일은 조용히 건너뛰지 않고 저장소 페이지에 이름을 밝힙니다.

JavaScript, TypeScriptnpm

package-lock.jsonnpm-shrinkwrap.jsonpnpm-lock.yamlyarn.lockbun.lockdeno.lockpackage.json

PythonPyPI

uv.lockpoetry.lockPipfile.lockpdm.lockpylock.tomlrequirements.txtrequirements.lockpixi.lockconda-lock.ymlpyproject.toml

Rustcrates.io

Cargo.lockCargo.toml

GoGo modules

go.mod

Java, KotlinMaven

gradle.lockfilemaven_install.jsonpom.xmllibs.versions.toml

.NETNuGet

packages.lock.jsonpackages.configpaket.lock.csproj.fsproj.vbprojDirectory.Packages.props

RubyRubyGems

Gemfile.lockgems.locked

PHPPackagist

composer.lock

Dart, FlutterPub

pubspec.lock

SwiftSwiftPM

Package.resolved

Elixir, ErlangHex

mix.lockrebar.lock

HaskellHackage

cabal.project.freeze

RCRAN

renv.lock

JuliaJulia

Manifest.toml

점선 테두리: 매니페스트이며, 잠금 파일이 다루지 않는 곳에서만 읽습니다.

1. 1

   최신 커밋의 잠금 파일을 읽습니다

   모든 폴더의 잠금 파일을 GitHub에서 정확한 커밋 기준으로 읽습니다. 각 패키지가 고정한 버전과, 개발 도구만 쓰는지 여부까지. 소스 코드는 절대 읽지 않습니다.

2. 2

   각 버전을 알려진 모든 결함과 대조합니다

   각 버전을 공개 보안 권고 데이터베이스(GitHub, PyPI, RustSec, Go 등)를 모은 OSV와, 공격자가 이미 악용하는 결함을 모은 CISA 목록에서 찾아봅니다.

3. 3

   먼저 업데이트할 것을 알려 드립니다

   사용자에게 닿는 것이 먼저, 가장 심각한 것이 맨 위에 옵니다. 업데이트할 패키지(대개 결함을 들여오는 직접 의존성)와 그것을 고치는 버전을 보여 줍니다. 테스트, 예제, 문서, 개발 도구는 따로 나열하며 답에는 넣지 않습니다.

4. 4

   결함이 무엇을 할 수 있는지 말할 뿐, 일어났다고 하지 않습니다

   코드가 패키지의 취약한 부분을 호출하는지는 확인하지 않습니다. 페이지의 결함은 업데이트할 버전이지, 프로젝트가 공격받을 수 있다는 증거가 아닙니다.

5. 5

   늘 최신 상태

   새 커밋은 다음 방문 때 읽습니다. 새 보안 권고는 OSV가 공개한 뒤 몇 분 안에 영향을 받는 모든 저장소에 반영됩니다.

저장소마다 페이지에서 그 답을 보여 주고 답에 따라 바뀌는 배지를 받을 수 있습니다. owner/repo를 내 저장소로 바꾸세요:

같은 답을 키 없이 JSON으로: /v1/repos/owner/repo. MCP 도구 check_repo로도: https://istheinternetok.com/mcp. 에이전트가 알아야 할 모든 것은 /skill.md에 있습니다.