SecureChain para software de código aberto

Pontos-chave: A substituição da fonte de carga pressupõe que a substituição atenda ao mesmo conteúdo da caixa, razão pela qual não requer alterações no arquivo do projeto. A triagem do lado do registro avalia uma caixa com base no que ela...

Principais conclusões: O Packagist indexa tags do Git em vez de hospedar artefatos; portanto, até julho de 2026, uma versão publicada poderia ser discretamente redirecionada para um commit diferente. Dois incidentes ocorridos em 2026 demonstraram que...

Pontos principais: Um pacote abandonado continua disponível para instalação pelo Packagist, mesmo com CVEs pendentes e tudo mais, porque corrigir pacotes nunca foi função do Packagist. O SecureChain recompila e verifica os pacotes PHP antes da instalação e, em seguida, mantém...

Pontos-chave: O Public PyPI verifica quem publicou um pacote, e não o que o pacote faz. O SecureChain analisa e recompila os pacotes antes que eles cheguem ao seu ambiente. Os artefatos recompilados apresentam novos hashes, portanto...

Um ID do CVE aparece no seu terminal, associado a um pacote que você nunca instalou de propósito, e o primeiro pensamento é imaginar o pior. Todos nós já passamos por isso. Esses...

Principais pontos: O Socket bloqueia pacotes maliciosos em qualquer nível de dependência e agora aplica patches retroativamente em nove ecossistemas. O Sonatype Firewall faz a triagem na entrada, mas orienta você a fazer uma atualização em vez de...

Principais conclusões: Um pacote publicado em um segmento de namespace diferente do Jackson forneceu o Cobalt Strike a partir do Maven Central em dezembro de 2025, sem envolvimento de nenhum CVE. O Maven Central verifica o controle de um namespace...

Pontos principais: Um script `build.rs` malicioso é executado durante o `cargo build` com os privilégios do processo que invocou o Cargo. O Cargo estável não oferece nenhuma maneira oficialmente suportada de compilar uma árvore de dependências...

Pontos-chave: No caso de versões fixas, o Maven consulta os repositórios em ordem e obtém suas coordenadas do primeiro que as possua. O próprio POM de uma dependência pode adicionar repositórios à sua compilação,...

Pontos principais: a auditoria do npm só pode comparar sua árvore com os dados dos alertas; portanto, uma versão maliciosa publicada há uma hora não será sinalizada. Para preencher essa lacuna, é preciso mais do que um...

Pontos-chave: o Cargo Audit só tem conhecimento dos avisos que já foram registrados. Os scripts de compilação e as macros de processamento executam código arbitrário no momento da compilação, e o Cargo na versão estável não permite desativar isso. Um...