export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
if (user.id !== resource.ownerId)
throw new ForbiddenError('IDOR');
const token = process.env.STRIPE_SECRET_KEY;
db.query('SELECT * FROM users WHERE id=$1',[id]);
const hits = await osv.queryBatch(deps);
$ semgrep scan --config p/security-audit
jwt.verify(t, secret, { algorithms:['HS256'] });
if (severity==='critical') verdict='do-not-ship';
const clean = DOMPurify.sanitize(input);
await rateLimit(ip); // anti fuerza-bruta
// CWE-89: consulta parametrizada
finding.cvss = computeCVSS(finding);
res.setHeader('Content-Security-Policy', csp);
const box = new Docker({ network: 'none' });
fetch(validateUrl(target)); // SSRF guard
finding.validated = await reproduce(poc);
[P0] Clave de API expuesta al navegador
status: 403 Forbidden
+ resueltos: 8 ~ nuevos: 2 = abiertos: 4
rotate(secret); // asumir comprometido
export async function scanRepo(url) {
const files = await ingestGithub(target);
Auditoría validada por explotación realLa auditoría de la mejor firma del mundo,
La auditoría de la mejor firma del mundo,
a un link de distancia.
Construiste tu app con IA y la publicaste sin revisión. Pegá el link de tu repo o subí tu código: encontramos las vulnerabilidades, las probamos de verdad y te entregamos las correcciones listas para aplicar. Sin jerga, sin falsos positivos.
Informe de ejemplo gratis · Repo, .zip o URL en vivo · Tu código no se reutiliza ni se filtra
informe-de-auditoría.pdf
62
postura / 100
Beta controlada
CríticoClave de Stripe expuesta al navegador
AltoIDOR: pedidos de otros usuarios accesibles
Altolodash@4.17.11 — CVE con RCE
MedioSin CI que impida publicar algo roto
Las apps hechas con IA repiten los mismos agujeros graves
No es tu culpa: el asistente genera rápido y publica sin revisión. Estos son los patrones que vemos una y otra vez en producción.
Secretos expuestos al navegador
Tokens y claves de API servidos al cliente o aceptados desde él.
Aislamiento multi-inquilino roto
Un usuario puede leer o modificar datos de otro (IDOR, RLS mal puesta).
Endpoints sin autorización real
Hay login, pero no se verifica que ESTE usuario pueda tocar ESTE recurso.
Inyección
SQL, NoSQL, comando y plantilla; entradas que llegan sin validar.
Dependencias vulnerables
Decenas de CVEs conocidos arrastrados sin actualizar.
Sin red de seguridad
Tests y lint en rojo, sin CI que impida publicar algo roto.
El motor
Una sola acción tuya. Un red team completo del otro lado.
Combinamos análisis estático y dinámico con agentes autónomos que comparten hallazgos y encadenan vulnerabilidades, como lo haría un equipo de ataque real.
01
Reconocimiento
Ingerimos tu código y mapeamos el proyecto: rutas, endpoints, dependencias.
02
Análisis
Leemos el fuente (estático) y, en vivo, atacamos la app en un sandbox aislado (dinámico).
03
Explotación
Nada se reporta como teoría: cada hallazgo se confirma con una prueba de concepto real.
04
Verificación
Triage por severidad y CVSS, con falsos positivos cerca de cero.
05
Correcciones
Te entregamos el arreglo: parche aplicable o PR listo para mergear.
Cobertura de nivel profesional
OWASP Top 10 completo, más calidad y arquitectura. Cada hallazgo con su CVSS, su categoría y su prueba de reproducción.
Control de acceso (IDOR, escalada, cruce de inquilinos)
Inyección (SQL, NoSQL, OS, SSTI)
Server-side (SSRF, XXE, deserialización, RCE)
Client-side (XSS, prototype pollution, CSRF)
Lógica de negocio (race conditions, pagos)
Auth y sesión (JWT, fijación, credential stuffing)
Secretos (cliente, repo, bundle)
Dependencias (CVEs con severidad y fix)
Infra / cloud (configuraciones inseguras)
API (auth rota, mass assignment, rate-limit)
Calidad / arquitectura (CI, tests, resiliencia)
Backups, alertas y observabilidad
Ética y autorización primero
Sólo escaneamos código o apps que poseés o tenés permiso explícito de testear. El flujo lo exige antes de correr nada.
Sólo hallazgos validados
Si no se pudo probar, decimos “no confirmado”. Nunca inflamos un hallazgo.
Tu código es tuyo
Sandbox aislado, nada se filtra ni se reutiliza, borrado claro. Vos mandás sobre tu código.
Fail-closed y honestidad
Si algo no se pudo revisar, el informe lo dice. Nunca un “todo OK” que no probamos.
¿Tu app está lista para abrirse al público?
Averigualo en minutos. Te damos un veredicto claro y las correcciones para llegar ahí.
Empezar auditoría