Перейти к содержимому
ITDПлатформа веб-безопасности
ITD
Поиск

Сканер уязвимостей зависимостей

Вставьте package.json, package-lock.json или pnpm-lock.yaml. Каждый npm-пакет сверяется с OSV.dev (открытой базой уязвимостей от Google) и сопоставляется с известными CVE — с указанием серьёзности и исправленной версии.

Весь разбор происходит в вашем браузере. Вставленный список зависимостей никогда не проходит через сервер этого сайта — он идёт прямо из вашего браузера в OSV.dev (CORS). Этот сайт не хранит, не логирует и не проксирует его.

Открыть инструмент

Отправка
Не на этот сайт
Хранение
Этот сайт не хранит
Внешний API
Имена и версии пакетов в OSV.dev
Цель
Только проверка публичных пакетов (npm)
Подробнее
  • Только при запуске проверки ваш браузер напрямую отправляет в OSV.dev (api.osv.dev) имена и версии npm-пакетов из вставленного списка. Сервер этого сайта не участвует.
  • OSV.dev получает эти данные о пакетах и ваш IP-адрес и обрабатывает их по своей политике.
  • Не вставляйте списки с внутренними именами пакетов, которые нельзя раскрывать.
  • Сам показ страницы записывается в журнал доступа (IP-адрес, время, user agent и т. п.). На страницах инструментов не загружаются реклама и аналитика. Политика конфиденциальности

Вставьте файл зависимостей и нажмите «Сканировать», чтобы увидеть результаты здесь. Впервые здесь? Нажмите «Попробовать пример» выше.

Как пользоваться

  1. 1

    Вставьте package.json вашего проекта или содержимое package-lock.json / pnpm-lock.yaml.

  2. 2

    Нажмите «Сканировать», чтобы сверить каждый пакет с OSV.dev (lockfile даёт точные зафиксированные версии; package.json выводит их из объявленных диапазонов).

  3. 3

    Проверьте статус и основания каждого бюллетеня. Отзыв, неполные данные и противоречия не подтверждают влияние или необходимость обновления. Сверьтесь с первоисточником; промпт для ИИ поможет составить список проверок.

Почему это важно

Зависимости — это код, который вы не писали, но за который отвечаете. И Log4Shell, и XZ проникли через одну-единственную зависимость. OSV.dev объединяет GitHub Advisory и рекомендации экосистем в открытую базу уязвимостей, которую можно запрашивать по имени npm-пакета и версии. Точность зависит от ввода — lockfile (точные установленные версии) наиболее точен; package.json — это оценка по объявленным диапазонам. Этот инструмент рассчитан на разовую проверку прямо сейчас; устойчивая защита — это автоматический аудит зависимостей в CI (GitHub Dependabot / `pnpm audit` / osv-scanner). Сам этот сайт запускает аудит зависимостей перед каждым деплоем и держит число известных уязвимостей на нуле.

Частые вопросы

QОтправляется ли куда-нибудь вставленный список зависимостей?
A

Не на этот сайт. Разбор происходит в вашем браузере, а проверка выполняется напрямую из вашего браузера в OSV.dev (api.osv.dev) по HTTPS. Этот сайт никогда не хранит, не логирует и не проксирует его.

QЧто вставлять — package.json или lockfile?
A

Для точности используйте lockfile (package-lock.json или pnpm-lock.yaml): он отражает точные установленные версии, включая транзитивные зависимости. package.json — это оценка по объявленным диапазонам (^1.2.3 и т. п.), полезная как быстрый ориентир.

QЕсли показано ноль уязвимостей, я в безопасности?
A

Нет. Он не может обнаружить уязвимости, ещё не попавшие в OSV, ошибки конфигурации или дефекты в вашем собственном коде. Это первичная проверка на известные CVE. Непрерывная защита достигается автоматическим аудитом в CI (Dependabot / pnpm audit / osv-scanner).

QКакие форматы поддерживаются?
A

Сейчас — экосистема npm (package.json / package-lock.json / pnpm-lock.yaml). yarn.lock и другие экосистемы (PyPI, Go и т. п.) пока не поддерживаются — сам OSV.dev охватывает множество экосистем, так что это кандидат на будущее.

Похожие страницы