Verifica se um repo do GitHub tem dependências vulneráveis

30 formatos de lockfile e 7 formatos de manifesto, em 14 ecossistemas. Cada pasta conta, monorepos e workspaces incluídos. Quando um projeto não tem lockfile, lemos as versões exatas que os seus manifestos fixam. Um lockfile que não sabemos verificar, como o do CocoaPods ou o do Conan, é indicado na página do repo, nunca ignorado em silêncio.

JavaScript, TypeScriptnpm

package-lock.jsonnpm-shrinkwrap.jsonpnpm-lock.yamlyarn.lockbun.lockdeno.lockpackage.json

PythonPyPI

uv.lockpoetry.lockPipfile.lockpdm.lockpylock.tomlrequirements.txtrequirements.lockpixi.lockconda-lock.ymlpyproject.toml

Rustcrates.io

Cargo.lockCargo.toml

GoGo modules

go.mod

Java, KotlinMaven

gradle.lockfilemaven_install.jsonpom.xmllibs.versions.toml

.NETNuGet

packages.lock.jsonpackages.configpaket.lock.csproj.fsproj.vbprojDirectory.Packages.props

RubyRubyGems

Gemfile.lockgems.locked

PHPPackagist

composer.lock

Dart, FlutterPub

pubspec.lock

SwiftSwiftPM

Package.resolved

Elixir, ErlangHex

mix.lockrebar.lock

HaskellHackage

cabal.project.freeze

RCRAN

renv.lock

JuliaJulia

Manifest.toml

Com contorno tracejado: os manifestos, lidos só onde nenhum lockfile os cobre.

1. 1

   Lê os lockfiles no último commit

   Cada lockfile de cada pasta, lido no GitHub no commit exato: cada pacote na versão que fixa, e se só ferramentas de programação o usam. O teu código-fonte nunca é lido.

2. 2

   Compara cada versão com todas as falhas conhecidas

   Cada versão é procurada no OSV, que reúne as bases públicas de avisos de segurança (a do GitHub, a do PyPI, a RustSec, a do Go e outras), e na lista da CISA das falhas que os atacantes já usam.

3. 3

   Diz-te o que atualizar primeiro

   O que toca os teus utilizadores vem primeiro, o mais grave no topo: o pacote a atualizar, muitas vezes a dependência direta que traz a falha, e a versão que a corrige. Testes, exemplos, documentação e ferramentas de programação ficam listados à parte e nunca contam.

4. 4

   Diz o que uma falha pode fazer, não que o faz

   Não verifica se o teu código chama a parte vulnerável de um pacote. Uma falha na página é uma versão a atualizar, não a prova de que o projeto pode ser atacado.

5. 5

   Sempre atualizado

   Um commit novo é lido na visita seguinte. Um aviso novo chega a cada repo que afeta poucos minutos depois de o OSV o publicar.

A página de cada repo dá-te um selo que mostra a sua resposta e muda com ela. Põe o teu repo no lugar de owner/repo:

A mesma resposta em JSON, sem chave, em /v1/repos/owner/repo. Ou como ferramenta MCP, check_repo, em https://istheinternetok.com/mcp. Tudo o que um agente precisa de saber está em /skill.md.