Darmowy
Na próbę
0 €na zawsze
- 1 projekt
- Analiza pakietów i kodu
- Paczki wymyślone i złośliwe
- Podsumowanie podatności
Narzędzia
- Techniczny raport PDF
- Eksport OpenVEX
- SBOM CycloneDX
- Klucz do Twojego CI
boutique-en-ligne
boutique-en-ligne.zip, 142 pakiety, 01/11/2026 09:12 UTC
Dotyczą Cię 3 z 31 znanych podatności.
Do poprawy, 2
next
15.2.215.2.3
Obejście ochrony stron prywatnych
krytyczna
1 z 1 podatności wymaga działania
CVE-2025-29927
Zobacz prompt
Zaktualizuj next z wersji 15.2.2 do 15.2.3 lub nowszej (poprawia CVE-2025-29927). Uruchom npm install next@15.2.3, żeby zaktualizować package.json i plik blokady. Potem uruchom testy i sprawdź, czy aplikacja się uruchamia.
Znana podatność i powód decyzji
- CVE-2025-29927 Obejście ochrony stron prywatnych Do poprawy: Krytyczna waga.
path-to-regexp
0.1.70.1.10
Spreparowany adres może zablokować serwer
wysoka
1 z 1 podatności wymaga działania
przez express
CVE-2024-45296
Zobacz prompt
Zaktualizuj path-to-regexp z wersji 0.1.7 do 0.1.10 lub nowszej (poprawia CVE-2024-45296). path-to-regexp to zależność pośrednia, przychodzi przez express: najpierw zaktualizuj express do wersji, która używa path-to-regexp 0.1.10 lub nowszej; w przeciwnym razie dodaj path-to-regexp do overrides w package.json i zainstaluj ponownie przez npm. Potem uruchom testy i sprawdź, czy aplikacja się uruchamia.
Znana podatność i powód decyzji
- CVE-2024-45296 Spreparowany adres może zablokować serwer Do poprawy: Wysoka waga.
Do sprawdzenia, 1
axios
1.5.11.6.0
Token XSRF może wyciec do innej strony
importowana w kodzie
średnia
1 z 1 podatności wymaga działania
CVE-2023-45857
Jak sprawdzić
Przeczytaj biuletyn i sprawdź, czy Twoja aplikacja używa tej funkcji albo opcji. Jeśli tak, zaktualizuj do 1.6.0. Jeśli nie, możesz zignorować te podatności. Biuletyn: https://osv.dev/vulnerability/GHSA-wf5p-g6vw-rhxx
Znana podatność i powód decyzji
-
CVE-2023-45857
Token XSRF może wyciec do innej strony
Do sprawdzenia: Średnia waga, nieznane prawdopodobieństwo wykorzystania.
Importowany w Twoim kodzie:
src/lib/http.ts:1
Odrzucone bez działania: 28 podatności w 15 pakietach
- CVE-2024-4068 Serwer można zablokować albo spowolnićUncontrolled resource consumption in braces Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2024-21538 Serwer można zablokować albo spowolnićRegular Expression Denial of Service (ReDoS) in cross-spawn Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2022-46175 Modyfikacja obiektów JavaScript (prototype pollution)Prototype Pollution in JSON5 via Parse Method Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
-
CVE-2021-23337
Wstrzyknięcie poleceń przez funkcję template
Odrzucona przez Ciebie: nasz kod nigdy nie wywołuje podatnej części.
Importowany w Twoim kodzie:
src/lib/http.ts:2 - CVE-2026-27904 Serwer można zablokować albo spowolnićminimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-26996 Serwer można zablokować albo spowolnićminimatch has a ReDoS via repeated wildcards with non-matching literal in pattern Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-27903 Serwer można zablokować albo spowolnićminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2022-3517 Serwer można zablokować albo spowolnićminimatch ReDoS vulnerability Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-67214 Serwer można zablokować albo spowolnićnanoid: non-secure generators can loop indefinitely with negative size Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-67213 Serwer można zablokować albo spowolnićnanoid: custom generators can loop indefinitely when size is zero Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-73086 Błąd pamięci: awaria albo wykonanie kodunanoid: Integer Overflow or Wraparound Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-45623 Dostęp do plików poza przewidzianym katalogiemPostCSS: Arbitrary file read and information disclosure via attacker-controlled sourceMappingURL in CSS comments Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-73646 Dostęp do plików poza przewidzianym katalogiemPostCSS: Path Traversal in Previous Source Map Auto-Loading (sourceMappingURL) leads to Arbitrary .map File Disclosure Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2024-47068 Wstrzyknięcie skryptu do stron (XSS)DOM Clobbering Gadget found in rollup bundled scripts that leads to XSS Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-27606 Dostęp do plików poza przewidzianym katalogiemRollup 4 has Arbitrary File Write via Path Traversal Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2022-25858 Serwer można zablokować albo spowolnićTerser insecure use of regular expressions leads to ReDoS Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-76844 Dostęp do plików poza przewidzianym katalogiemwebpack-dev-middleware vulnerable to Path Traversal via non-slash-terminated publicPath Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2024-29180 Dostęp do plików poza przewidzianym katalogiemPath traversal in webpack-dev-middleware Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- GHSA-67mh-4wv8-2f99 esbuild enables any website to send any requests to the development server and read the response Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2024-4067 Serwer można zablokować albo spowolnićRegular Expression Denial of Service (ReDoS) in micromatch Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-118764 Serwer można zablokować albo spowolnićminimatch has potential denial of service via globparts amplification Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2024-55565 Serwer można zablokować albo spowolnićPredictable results in nanoid generation when given non-integer values Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2023-44270 PostCSS line return parsing error Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-69153 Dostęp do plików poza przewidzianym katalogiemPostCSS: incomplete fix of GHSA-6g55-p6wh-862q — attacker-controlled sourceMappingURL reads arbitrary .map files when `from` is unset Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-41305 Wstrzyknięcie skryptu do stron (XSS)PostCSS has XSS via Unescaped </style> in its CSS Stringify Output Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2023-26136 Modyfikacja obiektów JavaScript (prototype pollution)tough-cookie Prototype Pollution vulnerability Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2023-26115 Serwer można zablokować albo spowolnićword-wrap vulnerable to Regular Expression Denial of Service Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2024-47764 Niefiltrowane znaki w nazwie ciasteczka Odrzucona: Niska waga.
28 z 31alertów odrzuconych w przykładzie, z powodem
0 kontdo pierwszego testu
24 hpotem wynik jest usuwany
19 €miesięcznie, pierwszy płatny plan
Co Tamiso sprawdza dla Ciebie
Twoje pakiety
-
lodash 4.17.20CVE-2021-23337 Wstrzyknięcie poleceń przez funkcję template Odrzucona przez Ciebie: nasz kod nigdy nie wywołuje podatnej części. Importowany w Twoim kodzie:src/lib/http.ts:2
Nieznalezione pakiety
Nie istnieją w npm. Często to nazwa wymyślona przez AI: ktoś może ją później opublikować ze złośliwym kodem. Jeśli nie pochodzi z prywatnego rejestru, usuń ją.
stripe-checkout-helper-ts
Twój kod
krytycznaCWE-798
Tajny klucz Stripe w kodzie
3const stripe = new Stripe("sk_l****")
Z tym kluczem każdy może tworzyć płatności i zwroty oraz czytać dane klientów.
krytycznaCWE-284
RLS wyłączony na tabeli
2alter table orders disable row level security;
Tabelę znowu może czytać i zmieniać każdy z kluczem anon.
Twoja strona
średnia
Brak nagłówka Strict-Transport-Security
Bez tego nagłówka przeglądarka może jeszcze otworzyć nieszyfrowaną wersję strony.
średnia
Kod źródłowy opublikowany razem z mapami źródeł
Pliki .map pozwalają odtworzyć oryginalny kod źródłowy, razem z komentarzami.
https://boutique-martin.fr/_next/static/chunks/main.js.map
Przeskanuj swoją stronęod planu Indie
W aplikacji
Jeden projekt na aplikację klienta. Tamiso trzyma historię wersji, sprawdza codziennie od nowa i przygotowuje to, co wysyłasz klientom.
Nowa wersja
Jedno miejsce na wszystko: plik zależności sprawdza paczki, archiwum .zip albo repozytorium GitHub sprawdza też kod. Tamiso porównuje z Twoimi decyzjami i pokazuje tylko to, co zostało.
Codzienna kontrola
Codziennie Tamiso sprawdza ponownie paczki z ostatniej wersji w bazach podatności i w katalogu CISA KEV. Nowa luka pojawia się tutaj i w historii.
Ostatnie automatyczne sprawdzenie 01/11/2026 o 06:00 UTC. 1 nowa luka 30/10.
Kod wysłany jako .zip nie jest przechowywany: codziennie sprawdzamy ponownie tylko paczki. Podepnij repozytorium, żeby kod też był sprawdzany.
Historia
Wersje zależności i analizy kodu, od najnowszych.
- boutique-en-ligne.zipzależności 3 do poprawy1 do sprawdzenia
- boutique-en-ligne.zipkod, 10 przeanalizowanych plików 4 wyniki
- boutique-en-ligne.zipzależności 2 do poprawy1 do sprawdzenia
- boutique-en-ligne.zipkod, 10 przeanalizowanych plików 4 wyniki
boutique-en-ligne
boutique-en-ligne.zip, 142 pakiety, 01/11/2026 09:12 UTC
Podsumowanie
31znanych podatności
- Do poprawy2
- Do sprawdzenia1
- Odrzucone z powodem28
Ważność wszystkich 31 podatności
Krytyczne 1Wysokie 19Średnie 10Niskie 1
0podatności wykorzystywanych teraz w atakach (katalog CISA KEV)
18 z 142pakietów ze znanymi podatnościami2 aktualizacje do zrobienia
Co zrobić najpierw
-
Tajny klucz Stripe w kodzie: src/lib/stripe.ts:3Unieważnij klucz w panelu Stripe, a potem czytaj go ze zmiennej środowiskowej po stronie serwera.
Zobacz prompt
W src/lib/stripe.ts:3: Tajny klucz Stripe w kodzie. Unieważnij klucz w panelu Stripe, a potem czytaj go ze zmiennej środowiskowej po stronie serwera. Popraw tylko te miejsca, a potem wyjaśnij mi zmianę.
-
Tabela Supabase bez RLS: supabase/migrations/003_orders.sql:1Dodaj „alter table … enable row level security;”, a potem reguły, które ograniczają każdy wiersz do właściciela (auth.uid()).
Zobacz prompt
W supabase/migrations/003_orders.sql:1: Tabela Supabase bez RLS. Dodaj „alter table … enable row level security;”, a potem reguły, które ograniczają każdy wiersz do właściciela (auth.uid()). Popraw tylko te miejsca, a potem wyjaśnij mi zmianę.
-
RLS wyłączony na tabeli: supabase/migrations/003_orders.sql:2Usuń tę linię i włącz RLS z regułami dla każdego użytkownika.
Zobacz prompt
W supabase/migrations/003_orders.sql:2: RLS wyłączony na tabeli. Usuń tę linię i włącz RLS z regułami dla każdego użytkownika. Popraw tylko te miejsca, a potem wyjaśnij mi zmianę.
-
Zrób pozostałe 2 aktualizacjenext 15.2.3, path-to-regexp 0.1.10
Zobacz prompt
Zrób te aktualizacje po kolei i po każdej uruchom testy: - Zaktualizuj next z wersji 15.2.2 do 15.2.3 lub nowszej (poprawia CVE-2025-29927). Uruchom npm install next@15.2.3, żeby zaktualizować package.json i plik blokady. Potem uruchom testy i sprawdź, czy aplikacja się uruchamia. - Zaktualizuj path-to-regexp z wersji 0.1.7 do 0.1.10 lub nowszej (poprawia CVE-2024-45296). path-to-regexp to zależność pośrednia, przychodzi przez express: najpierw zaktualizuj express do wersji, która używa path-to-regexp 0.1.10 lub nowszej; w przeciwnym razie dodaj path-to-regexp do overrides w package.json i zainstaluj ponownie przez npm. Potem uruchom testy i sprawdź, czy aplikacja się uruchamia.
-
Sprawdź 1 pakietaxiosZobacz
Paczki
Do poprawy, 2
next
15.2.215.2.3
Obejście ochrony stron prywatnych
krytyczna
1 z 1 podatności wymaga działania
CVE-2025-29927
Zobacz prompt
Zaktualizuj next z wersji 15.2.2 do 15.2.3 lub nowszej (poprawia CVE-2025-29927). Uruchom npm install next@15.2.3, żeby zaktualizować package.json i plik blokady. Potem uruchom testy i sprawdź, czy aplikacja się uruchamia.
Znana podatność i powód decyzji
- CVE-2025-29927 Obejście ochrony stron prywatnych Do poprawy: Krytyczna waga.
path-to-regexp
0.1.70.1.10
Spreparowany adres może zablokować serwer
wysoka
1 z 1 podatności wymaga działania
przez express
CVE-2024-45296
Zobacz prompt
Zaktualizuj path-to-regexp z wersji 0.1.7 do 0.1.10 lub nowszej (poprawia CVE-2024-45296). path-to-regexp to zależność pośrednia, przychodzi przez express: najpierw zaktualizuj express do wersji, która używa path-to-regexp 0.1.10 lub nowszej; w przeciwnym razie dodaj path-to-regexp do overrides w package.json i zainstaluj ponownie przez npm. Potem uruchom testy i sprawdź, czy aplikacja się uruchamia.
Znana podatność i powód decyzji
- CVE-2024-45296 Spreparowany adres może zablokować serwer Do poprawy: Wysoka waga.
Do sprawdzenia, 1
axios
1.5.11.6.0
Token XSRF może wyciec do innej strony
importowana w kodzie
średnia
1 z 1 podatności wymaga działania
CVE-2023-45857
Jak sprawdzić
Przeczytaj biuletyn i sprawdź, czy Twoja aplikacja używa tej funkcji albo opcji. Jeśli tak, zaktualizuj do 1.6.0. Jeśli nie, możesz zignorować te podatności. Biuletyn: https://osv.dev/vulnerability/GHSA-wf5p-g6vw-rhxx
Znana podatność i powód decyzji
-
CVE-2023-45857
Token XSRF może wyciec do innej strony
Do sprawdzenia: Średnia waga, nieznane prawdopodobieństwo wykorzystania.
Importowany w Twoim kodzie:
src/lib/http.ts:1
Odrzucone bez działania: 28 podatności w 15 pakietach
- CVE-2024-4068 Serwer można zablokować albo spowolnićUncontrolled resource consumption in braces Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2024-21538 Serwer można zablokować albo spowolnićRegular Expression Denial of Service (ReDoS) in cross-spawn Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2022-46175 Modyfikacja obiektów JavaScript (prototype pollution)Prototype Pollution in JSON5 via Parse Method Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
-
CVE-2021-23337
Wstrzyknięcie poleceń przez funkcję template
Odrzucona przez Ciebie: nasz kod nigdy nie wywołuje podatnej części.
Importowany w Twoim kodzie:
src/lib/http.ts:2 - CVE-2026-27904 Serwer można zablokować albo spowolnićminimatch ReDoS: nested *() extglobs generate catastrophically backtracking regular expressions Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-26996 Serwer można zablokować albo spowolnićminimatch has a ReDoS via repeated wildcards with non-matching literal in pattern Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-27903 Serwer można zablokować albo spowolnićminimatch has ReDoS: matchOne() combinatorial backtracking via multiple non-adjacent GLOBSTAR segments Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2022-3517 Serwer można zablokować albo spowolnićminimatch ReDoS vulnerability Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-67214 Serwer można zablokować albo spowolnićnanoid: non-secure generators can loop indefinitely with negative size Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-67213 Serwer można zablokować albo spowolnićnanoid: custom generators can loop indefinitely when size is zero Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-73086 Błąd pamięci: awaria albo wykonanie kodunanoid: Integer Overflow or Wraparound Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-45623 Dostęp do plików poza przewidzianym katalogiemPostCSS: Arbitrary file read and information disclosure via attacker-controlled sourceMappingURL in CSS comments Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-73646 Dostęp do plików poza przewidzianym katalogiemPostCSS: Path Traversal in Previous Source Map Auto-Loading (sourceMappingURL) leads to Arbitrary .map File Disclosure Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2024-47068 Wstrzyknięcie skryptu do stron (XSS)DOM Clobbering Gadget found in rollup bundled scripts that leads to XSS Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-27606 Dostęp do plików poza przewidzianym katalogiemRollup 4 has Arbitrary File Write via Path Traversal Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2022-25858 Serwer można zablokować albo spowolnićTerser insecure use of regular expressions leads to ReDoS Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-76844 Dostęp do plików poza przewidzianym katalogiemwebpack-dev-middleware vulnerable to Path Traversal via non-slash-terminated publicPath Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2024-29180 Dostęp do plików poza przewidzianym katalogiemPath traversal in webpack-dev-middleware Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- GHSA-67mh-4wv8-2f99 esbuild enables any website to send any requests to the development server and read the response Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2024-4067 Serwer można zablokować albo spowolnićRegular Expression Denial of Service (ReDoS) in micromatch Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-118764 Serwer można zablokować albo spowolnićminimatch has potential denial of service via globparts amplification Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2024-55565 Serwer można zablokować albo spowolnićPredictable results in nanoid generation when given non-integer values Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2023-44270 PostCSS line return parsing error Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-69153 Dostęp do plików poza przewidzianym katalogiemPostCSS: incomplete fix of GHSA-6g55-p6wh-862q — attacker-controlled sourceMappingURL reads arbitrary .map files when `from` is unset Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2026-41305 Wstrzyknięcie skryptu do stron (XSS)PostCSS has XSS via Unescaped </style> in its CSS Stringify Output Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2023-26136 Modyfikacja obiektów JavaScript (prototype pollution)tough-cookie Prototype Pollution vulnerability Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2023-26115 Serwer można zablokować albo spowolnićword-wrap vulnerable to Regular Expression Denial of Service Odrzucona: Pakiet używany tylko przy developmencie, nie trafia do Twojej aplikacji.
- CVE-2024-47764 Niefiltrowane znaki w nazwie ciasteczka Odrzucona: Niska waga.
Higiena
Co Tamiso sprawdziło wokół pakietów i kodu oraz czego brakuje, żeby utwardzić projekt.
-
Pakiety nieistniejące albo opublikowane mniej niż 30 dni temustripe-checkout-helper-ts: sprawdź, czy to na pewno właściwe pakiety.
-
Brak nazw podobnych do znanych pakietówŻadna literówka nie podszywa się pod popularny pakiet.
-
Brak wersji wycofanych przez autorówŻadna wersja nie jest oznaczona jako „deprecated” ani „yanked”.
-
Wszystkie wersje są przypięteKażdy pakiet ma dokładną wersję.
-
Wersje zablokowanePlik blokady ustala dokładną wersję każdego pakietu razem z jego skrótem.
-
Brak automatycznych aktualizacjiDodaj .github/dependabot.yml: GitHub co tydzień zaproponuje aktualizacje bezpieczeństwa.
version: 2 updates: - package-ecosystem: "npm" directory: "/" schedule: interval: "weekly" -
Brak pliku .env w wysłanym kodzieHasła i klucze z .env nie trafiają razem z kodem.
-
1 sekret wpisany w kodsrc/lib/stripe.ts:3: zobacz zakładkę Kod.
-
Tryb debug nie jest włączony w kodzieBłędy nie pokazują odwiedzającym kodu ani zmiennych.
Nieznalezione pakiety
Nie istnieją w npm. Często to nazwa wymyślona przez AI: ktoś może ją później opublikować ze złośliwym kodem. Jeśli nie pochodzi z prywatnego rejestru, usuń ją.
Jeśli to wewnętrzna paczka z prywatnego rejestru, ryzyko i tak istnieje (dependency confusion): zarezerwuj tę nazwę, albo zakres @…, także w publicznym rejestrze i skonfiguruj prywatny rejestr jawnie (.npmrc, --index-url), żeby instalacja nigdy nie szukała gdzie indziej.
stripe-checkout-helper-ts
Jak Tamiso decyduje
Podatność trafia do „do poprawy”, jeśli jest aktywnie wykorzystywana (katalog CISA KEV, wersja makiety), jeśli jej prawdopodobieństwo wykorzystania EPSS przekracza 10%, jeśli jej waga jest krytyczna albo wysoka przy prawdopodobieństwie wykorzystania co najmniej 1%. Jest odrzucana, jeśli jej waga jest niska albo średnia przy prawdopodobieństwie wykorzystania poniżej 1%, albo jeśli pakiet służy tylko do developmentu. Reszta jest „do sprawdzenia”. Jedna aktualizacja często poprawia kilka podatności, dlatego są pogrupowane według pakietów. Twoja decyzja zawsze wygrywa z regułą. Wyjątek: krytyczna albo bardzo prawdopodobnie wykorzystywana podatność w paczce do developmentu zostaje „do sprawdzenia”, bo ta paczka działa na Waszych komputerach i w CI.
Paczka znana jako złośliwa (baza złośliwych paczek OpenSSF) jest zawsze „do poprawy”, nawet jeśli służy tylko do developmentu: działa już przy instalacji. Ten projekt ma też analizę kodu (01/11/2026): podatność w bezpośredniej paczce, której kod nigdy nie importuje i której według pliku blokady nie potrzebuje żadna inna paczka, spada o jeden poziom, a jeśli analiza AI pokazała, że kod nie używa podatnej części, podatność jest odrzucana z tym powodem. Podatności wykorzystywane aktywnie nigdy nie są tak odrzucane.
Twoje decyzje używają statusów OpenVEX („nie dotyczy” z uzasadnieniem albo „dotyczy”). Eksport OpenVEX zapisuje je w standardowym pliku JSON (tym samym, który czytają vexctl, Trivy i Grype): dołącz go do SBOM dla klientów i audytorów. Podatności bez decyzji mają w nim status „w trakcie analizy”.
boutique-en-ligne.zip10 przeanalizowanych plików
Mapa kodu
Skąd przychodzą dane, przez które funkcje idą i dokąd trafiają. Problemy są w funkcji, w której powstają; wybierz jeden, żeby zostawić tylko jego ścieżkę.
problem w tej funkcji
wejście, z którego przychodzą dane
ścieżka problemu
dokąd trafiają dane
Wybierz problem
Mapa zostawi wtedy tylko jego ścieżkę: wejście, z którego przychodzą dane, funkcje po drodze i miejsce, do którego trafiają.
krytycznaCWE-798
Tajny klucz Stripe w kodzie
3const stripe = new Stripe("sk_l****")
- Tu jest problemconst stripe = new Stripe("sk_l****"), src/lib/stripe.ts:3
Z tym kluczem każdy może tworzyć płatności i zwroty oraz czytać dane klientów.
Unieważnij klucz w panelu Stripe, a potem czytaj go ze zmiennej środowiskowej po stronie serwera.
krytycznaCWE-284
Tabela Supabase bez RLS
1create table orders (id uuid primary key, items jsonb, email text);
- Tu jest problemcreate table orders (id uuid primary key, items jsonb, email text);, supabase/migrations/003_orders.sql:1
- UżywaBaza danych
Bez Row Level Security publiczny klucz anon Twojej aplikacji wystarczy, żeby czytać i zmieniać całą tabelę.
Dodaj „alter table … enable row level security;”, a potem reguły, które ograniczają każdy wiersz do właściciela (auth.uid()).
krytycznaCWE-284
RLS wyłączony na tabeli
2alter table orders disable row level security;
- Tu jest problemalter table orders disable row level security;, supabase/migrations/003_orders.sql:2
- UżywaBaza danych
Tabelę znowu może czytać i zmieniać każdy z kluczem anon.
Usuń tę linię i włącz RLS z regułami dla każdego użytkownika.
wysokaCWE-89
Zapytanie SQL sklejane z tekstu użytkownika
4const res = await pool.query(`SELECT * FROM products WHERE name LIKE '%${q}%'`)
- WejścieGET /api/search (query: q)
- Przechodzi przezGET(request), src/app/api/search/route.ts:3
- Tu jest problemsearchProducts(q), src/lib/products.ts:4
- UżywaBaza danych
Jeśli wartość pochodzi od użytkownika, może on czytać albo kasować bazę (SQL injection).
Używaj parametrów (%s, ?, $1) albo ORM zamiast wklejać wartości do zapytania.
Mapa powstaje z czytania kodu (Python, JavaScript i TypeScript), bez uruchamiania go: wywołanie dynamiczne albo dekorator mogą umknąć. Zapisujemy tylko nazwy funkcji i tras oraz numery linii.
krytycznaCWE-798
Tajny klucz Stripe w kodzie
Z tym kluczem każdy może tworzyć płatności i zwroty oraz czytać dane klientów.
Unieważnij klucz w panelu Stripe, a potem czytaj go ze zmiennej środowiskowej po stronie serwera.
1 miejsce w kodzie
src/lib/stripe.ts:3const stripe = new Stripe("sk_l****")
Zobacz prompt
W src/lib/stripe.ts:3: Tajny klucz Stripe w kodzie. Unieważnij klucz w panelu Stripe, a potem czytaj go ze zmiennej środowiskowej po stronie serwera. Popraw tylko te miejsca, a potem wyjaśnij mi zmianę.
krytycznaCWE-284
Tabela Supabase bez RLS
Bez Row Level Security publiczny klucz anon Twojej aplikacji wystarczy, żeby czytać i zmieniać całą tabelę.
Dodaj „alter table … enable row level security;”, a potem reguły, które ograniczają każdy wiersz do właściciela (auth.uid()).
1 miejsce w kodzie
supabase/migrations/003_orders.sql:1create table orders (id uuid primary key, items jsonb, email text);
Zobacz prompt
W supabase/migrations/003_orders.sql:1: Tabela Supabase bez RLS. Dodaj „alter table … enable row level security;”, a potem reguły, które ograniczają każdy wiersz do właściciela (auth.uid()). Popraw tylko te miejsca, a potem wyjaśnij mi zmianę.
krytycznaCWE-284
RLS wyłączony na tabeli
Tabelę znowu może czytać i zmieniać każdy z kluczem anon.
Usuń tę linię i włącz RLS z regułami dla każdego użytkownika.
1 miejsce w kodzie
supabase/migrations/003_orders.sql:2alter table orders disable row level security;
Zobacz prompt
W supabase/migrations/003_orders.sql:2: RLS wyłączony na tabeli. Usuń tę linię i włącz RLS z regułami dla każdego użytkownika. Popraw tylko te miejsca, a potem wyjaśnij mi zmianę.
wysokaCWE-89
Zapytanie SQL sklejane z tekstu użytkownika
Jeśli wartość pochodzi od użytkownika, może on czytać albo kasować bazę (SQL injection).
Używaj parametrów (%s, ?, $1) albo ORM zamiast wklejać wartości do zapytania.
1 miejsce w kodzie
src/lib/products.ts:4const res = await pool.query(`SELECT * FROM products WHERE name LIKE '%${q}%'`)Dane wysłane przez użytkownika w src/app/api/search/route.ts:4, przekazane przez searchProducts (src/app/api/search/route.ts:5), użyte tutaj bez sprawdzenia.
Zobacz prompt
W src/lib/products.ts:4: Zapytanie SQL sklejane z tekstu użytkownika. Używaj parametrów (%s, ?, $1) albo ORM zamiast wklejać wartości do zapytania. Popraw tylko te miejsca, a potem wyjaśnij mi zmianę.
Co sprawdza analiza kodu
Klucze i hasła wpisane w kod (Stripe, AWS, GitHub, GitLab, OpenAI, Anthropic, Hugging Face, SendGrid, Slack, Telegram, Google, tokeny npm i PyPI, adresy baz danych z hasłem, klucze prywatne, pliki .env), tajny klucz aplikacji wpisany na sztywno, sekrety wystawione przeglądarce (NEXT_PUBLIC_, VITE_…), klucz service_role Supabase po stronie przeglądarki, tabele Supabase bez RLS albo z otwartymi regułami (we wszystkich migracjach projektu), reguły Firebase otwarte albo w „trybie testowym”, widoki i funkcje Supabase omijające RLS, zapytania SQL i polecenia systemowe sklejane z tekstu, zapytania, pliki i przekierowania wybierane przez użytkownika (także gdy wartość przechodzi przez zmienną kilka linii wyżej), dane zapisywane bez wyboru pól, wczytywanie danych, które może wykonać kod, hasła haszowane MD5 albo porównywane ze stałą wartością, osłabiona ochrona CSRF albo ciasteczka sesji, tokeny w localStorage albo losowane przez Math.random, włączony tryb debug, wyłączona weryfikacja TLS albo JWT, CORS otwarty z danymi logowania i HTML wstawiany bez oczyszczenia. Przykładowe wartości (your-key, xxxx), domyślne hasła lokalne, komentarze, testy i konfiguracje testowe nie są zgłaszane, z wyjątkiem sekretów.
W projekcie analiza zapisuje też, które paczki są importowane w kodzie: podatność w paczce, której kod nigdy nie importuje i której według pliku blokady nie potrzebuje żadna inna paczka, spada o jeden poziom, z powodem. Znalezione pliki zależności (package-lock.json, requirements.txt, composer.lock…) od razu dają nową wersję analizy zależności.
Kod jest czytany w pamięci i zapominany: Tamiso zatrzymuje tylko nazwę pliku, linię i krótki fragment z zamaskowanymi sekretami. Katalogi zależności i budowania (node_modules, dist…) są pomijane. Analiza regułami nie zastępuje przeglądu bezpieczeństwa.
Nic poważnego, kilka rzeczy do poprawy
skan z 01/11/2026 09:12 UTC, pełny, 1 przeczytany plik JavaScriptśrednia
Ciasteczko bez zabezpieczeń
Ciasteczko bez Secure może iść bez szyfrowania, bez HttpOnly odczyta je wstrzyknięty skrypt, bez SameSite jest wysyłane z zapytaniami z innych stron.
Dodaj Secure, HttpOnly i SameSite=Lax do ciasteczek sesji.
session : Secure, SameSite
Zobacz prompt
Tamiso znalazło problem bezpieczeństwa na mojej stronie https://boutique-martin.fr: Ciasteczko bez zabezpieczeń (session : Secure, SameSite). Ciasteczko bez Secure może iść bez szyfrowania, bez HttpOnly odczyta je wstrzyknięty skrypt, bez SameSite jest wysyłane z zapytaniami z innych stron. Popraw to w kodzie albo konfiguracji projektu: Dodaj Secure, HttpOnly i SameSite=Lax do ciasteczek sesji. Napisz, co zmieniłeś i co muszę ustawić sam u hostingu.
średnia
Brak nagłówka Strict-Transport-Security
Bez tego nagłówka przeglądarka może jeszcze otworzyć nieszyfrowaną wersję strony.
Dodaj nagłówek Strict-Transport-Security: max-age=31536000; includeSubDomains.
Zobacz prompt
Tamiso znalazło problem bezpieczeństwa na mojej stronie https://boutique-martin.fr: Brak nagłówka Strict-Transport-Security (https://boutique-martin.fr). Bez tego nagłówka przeglądarka może jeszcze otworzyć nieszyfrowaną wersję strony. Popraw to w kodzie albo konfiguracji projektu: Dodaj nagłówek Strict-Transport-Security: max-age=31536000; includeSubDomains. Napisz, co zmieniłeś i co muszę ustawić sam u hostingu.
średnia
Strona działa też bez HTTPS
Wersja http:// nie przekierowuje na https://: w publicznym Wi-Fi ktoś może podejrzeć albo zmienić to, co widzi odwiedzający.
Włącz automatyczne przekierowanie na HTTPS w ustawieniach hostingu.
http://boutique-martin.fr/
Zobacz prompt
Tamiso znalazło problem bezpieczeństwa na mojej stronie https://boutique-martin.fr: Strona działa też bez HTTPS (http://boutique-martin.fr/). Wersja http:// nie przekierowuje na https://: w publicznym Wi-Fi ktoś może podejrzeć albo zmienić to, co widzi odwiedzający. Popraw to w kodzie albo konfiguracji projektu: Włącz automatyczne przekierowanie na HTTPS w ustawieniach hostingu. Napisz, co zmieniłeś i co muszę ustawić sam u hostingu.
średnia
Kod źródłowy opublikowany razem z mapami źródeł
Pliki .map pozwalają odtworzyć oryginalny kod źródłowy, razem z komentarzami.
Wyłącz mapy źródeł na produkcji (na przykład productionBrowserSourceMaps: false, build.sourcemap: false) albo udostępniaj je tylko narzędziu do śledzenia błędów.
https://boutique-martin.fr/_next/static/chunks/main.js.map
Zobacz prompt
Tamiso znalazło problem bezpieczeństwa na mojej stronie https://boutique-martin.fr: Kod źródłowy opublikowany razem z mapami źródeł (https://boutique-martin.fr/_next/static/chunks/main.js.map). Pliki .map pozwalają odtworzyć oryginalny kod źródłowy, razem z komentarzami. Popraw to w kodzie albo konfiguracji projektu: Wyłącz mapy źródeł na produkcji (na przykład productionBrowserSourceMaps: false, build.sourcemap: false) albo udostępniaj je tylko narzędziu do śledzenia błędów. Napisz, co zmieniłeś i co muszę ustawić sam u hostingu.
niska
Brak nagłówka Content-Security-Policy
Ten nagłówek ogranicza skrypty, które strona może wczytać: mocno zmniejsza skutki luki XSS.
Dodaj politykę Content-Security-Policy: zacznij od default-src 'self', potem dopisz potrzebne domeny.
Zobacz prompt
Tamiso znalazło problem bezpieczeństwa na mojej stronie https://boutique-martin.fr: Brak nagłówka Content-Security-Policy (https://boutique-martin.fr). Ten nagłówek ogranicza skrypty, które strona może wczytać: mocno zmniejsza skutki luki XSS. Popraw to w kodzie albo konfiguracji projektu: Dodaj politykę Content-Security-Policy: zacznij od default-src 'self', potem dopisz potrzebne domeny. Napisz, co zmieniłeś i co muszę ustawić sam u hostingu.
niska
Stronę można wyświetlić w ramce innej strony
Inna strona może wyświetlić Twoją w przezroczystej ramce i skłonić odwiedzających do kliknięć bez ich wiedzy (clickjacking).
Dodaj Content-Security-Policy: frame-ancestors 'self' (albo X-Frame-Options: DENY).
Zobacz prompt
Tamiso znalazło problem bezpieczeństwa na mojej stronie https://boutique-martin.fr: Stronę można wyświetlić w ramce innej strony (https://boutique-martin.fr). Inna strona może wyświetlić Twoją w przezroczystej ramce i skłonić odwiedzających do kliknięć bez ich wiedzy (clickjacking). Popraw to w kodzie albo konfiguracji projektu: Dodaj Content-Security-Policy: frame-ancestors 'self' (albo X-Frame-Options: DENY). Napisz, co zmieniłeś i co muszę ustawić sam u hostingu.
niska
Brak nagłówka Referrer-Policy
Pełny adres Twoich stron (z parametrami) może trafiać do serwisów, które te strony wywołują.
Dodaj nagłówek Referrer-Policy: strict-origin-when-cross-origin.
Zobacz prompt
Tamiso znalazło problem bezpieczeństwa na mojej stronie https://boutique-martin.fr: Brak nagłówka Referrer-Policy (https://boutique-martin.fr). Pełny adres Twoich stron (z parametrami) może trafiać do serwisów, które te strony wywołują. Popraw to w kodzie albo konfiguracji projektu: Dodaj nagłówek Referrer-Policy: strict-origin-when-cross-origin. Napisz, co zmieniłeś i co muszę ustawić sam u hostingu.
niska
Brak pliku security.txt
Ktoś, kto znajdzie lukę, nie wie, do kogo napisać. Dla produktu sprzedawanego w UE Cyber Resilience Act wymaga kontaktu do zgłaszania podatności.
Opublikuj /.well-known/security.txt z co najmniej linią Contact: i linią Expires: (RFC 9116).
Zobacz prompt
Tamiso znalazło problem bezpieczeństwa na mojej stronie https://boutique-martin.fr: Brak pliku security.txt (https://boutique-martin.fr). Ktoś, kto znajdzie lukę, nie wie, do kogo napisać. Dla produktu sprzedawanego w UE Cyber Resilience Act wymaga kontaktu do zgłaszania podatności. Popraw to w kodzie albo konfiguracji projektu: Opublikuj /.well-known/security.txt z co najmniej linią Contact: i linią Expires: (RFC 9116). Napisz, co zmieniłeś i co muszę ustawić sam u hostingu.
Sprawdzone, bez zastrzeżeń
- Ukryta wersja serwera
- Zasoby wczytywane przez HTTPS
- Brak tajnych kluczy w JavaScripcie
- Wersja produkcyjna
- Brak wrażliwych plików w sieci
- Bez trybu debug i konsoli w sieci
- Narzędzia administracyjne zamknięte
- Schemat API niepubliczny
- Brak otwartych przekierowań
- Katalogi nielistowane
- Tylko TLS 1.2 i 1.3
- CORS ograniczony do Twoich domen
Pełny skan
strona potwierdzona 01/11/2026Każdy skan szuka też wrażliwych plików (.env, .git, kopie, logi), trybu debug i konsol, narzędzi administracyjnych, dokumentacji API i GraphQL, otwartych przekierowań, listowanych katalogów, starych wersji TLS, security.txt i CORS. Wszystko tylko do odczytu, tylko na Twojej domenie: bez logowania, bez wysyłania formularzy, bez zmiany danych.
Zostaw kod weryfikacyjny na miejscu: sprawdzamy go przed każdym pełnym skanem.
|
Atelier Lumen
Bezpieczeństwo Twojej aplikacji: Boulangerie Martin, boutique-en-lignePrzygotowany dla: Claire Martin. Wersja z 01/11/2026: 142 przeanalizowane paczki. Przeanalizowaliśmy też kod projektu.
2 aktualizacje zaplanowane
Żadna znana luka nie jest teraz wykorzystywana przeciw komponentom Twojej aplikacji. 2 komponenty mają znaną lukę do obsłużenia: aktualizujemy je do 15/11/2026. Kod zawiera tajny klucz do usunięcia i wymiany. 2aktualizacje do zrobienia
1pakiet do sprawdzenia
31znanych luk, w tym 28 odrzuconych
4poważne problemy w kodzie
Co poprawiamy
Co sprawdzamy
Rejestr obsługi podatnościTerminy od wykrycia: 7 dni dla podatności aktywnie wykorzystywanej albo krytycznej, 30 dni dla wysokiej wagi, 90 dni dla średniej, 180 dni dla niskiej.
Co sprawdziliśmyKomponenty142 paczki sprawdzone w bazach OSV i FIRST EPSS oraz w katalogu CISA KEV.
Paczki wymyślone albo złośliweJedna paczka, której nie ma w rejestrze, często wymyślona przez AI.
Klucze i hasłaJeden tajny klucz w kodzie: do usunięcia i wymiany.
Kod aplikacji3 poważne problemy do poprawy (dostęp do danych, wstrzyknięcie albo konfiguracja).
Lukę odrzucamy, gdy nie dotyczy Twojej aplikacji: nieużywana część komponentu, bardzo małe ryzyko w praktyce albo decyzja sprawdzona przez nasz zespół. Lista 28 odrzuconych luk z powodem każdej jest dostępna na prośbę w Atelier Lumen. Ten raport nie zastępuje audytu bezpieczeństwa. Źródła: OSV, FIRST EPSS, CISA KEV (katalog z makiety), PyPI, npm.
Atelier Lumen
Analiza wykonana w Tamiso
|
Każdy projekt w jednym miejscu: stan zależności i kodu, codzienna kontrola i historia wersji. Zobacz szczegóły
Dlaczego Tamiso, a nie inne narzędzie
Darmowe alerty z repozytorium koduPlatformy bezpieczeństwa dla zespołówTamiso
Pierwszy testWymaga repozytorium GitHubWymaga kontaBez konta, wystarczy plik
Alerty, które Cię nie dotycząPokazywane prawie wszystkieCzęściowo posortowaneOdrzucone, z powodem
JęzykZwykle tylko po angielskuZwykle tylko po angielskuFrancuski, angielski, polski
NaprawaProponowana aktualizacjaAutomatyczna poprawka, często płatnaWyjaśnienie i prompt dla Twojego AI
Pakiety wymyślone przez AINie są zgłaszaneZależnie od narzędziaZgłaszane
Cena dla małego zespołuDarmowyCzęsto kilkaset euro miesięcznie0 €, potem 19 € miesięcznie
Raport dla klientówNieGłównie w planach dla firmW planie Studio
Cennik
Indie
Dla twórców działających w pojedynkę
19 €miesięcznie, netto
- 5 projektów
- Połączenie z GitHubem, analiza przy każdej zmianie
- Alerty e-mail
- Dodatkowa zaawansowana analiza AI
Narzędzia ponad plan Darmowy
- Skaner stronyto, co atakujący widzi z zewnątrz
- Dostęp dla Twoich asystentów kodu (MCP)
Studio
Dla agencji i małych zespołów
59 €miesięcznie, netto
- 15 projektów klientów
- Do 5 osób
- Wszystko z planu Indie
Narzędzia ponad plan Indie
- Raport dla klienta z Twoją markąTwoje logo, Twoje terminy poprawek, porównanie z poprzednim miesiącem
- Link dla klienta, bez konta
- Dossier NIS2 dla Twoich klientówrejestr podatności, polityki, odpowiedzi do ankiet
Wydawca
Dla producentów oprogramowania i urządzeń IoT
149 €miesięcznie, netto
- 10 produktów
- Do 10 osób
- Wszystko z planu Studio
Narzędzia ponad plan Studio
- Eksport VEX i CSAF 2.0
- Terminy i szkice zgłoszeń CRA
W płatnych planach AI jest częścią analizy. Przegląda alerty w Twoim kodzie i odrzuca fałszywe, sprawdza, czy Twój kod naprawdę wywołuje podatną część paczki, wyjaśnia każdą lukę prostym językiem i tłumaczy opisy z baz. Plan darmowy analizuje na podstawie publicznych baz i naszych reguł, bez wysyłania Twojego kodu do modelu AI.
Rocznie, 2 miesiące gratis: Indie 190 €, Studio 590 €, Wydawca 1 490 € rocznie netto. Płatne plany ruszają wkrótce: zarezerwuj swój, bez płacenia dziś. Pro i Partner (konsultanci, agencje, audytorzy) wyceniamy indywidualnie. Zarezerwuj plan