Detecção de Vulnerabilidades

O cside verifica automaticamente cada script de terceiro carregado no seu site e o compara com bancos de dados de vulnerabilidades conhecidas. Quando um script com uma vulnerabilidade conhecida é detectado, nós o sinalizamos e exibimos os detalhes no seu painel para que você possa tomar as medidas necessárias.

Como funciona

Quando um script é carregado no seu site, o cside segue um processo de três etapas para determinar se ele contém vulnerabilidades conhecidas:

1. Extrair a biblioteca e a versão

O cside identifica o nome do pacote e a versão a partir da URL do script. Suportamos uma ampla variedade de padrões comuns de CDN e hospedagem:

Por exemplo, dada a URL do script:

https://cdnjs.cloudflare.com/ajax/libs/lodash.js/4.17.21/lodash.min.js

O cside extrai:

• Pacote: lodash.js
• Versão: 4.17.21

2. Verificar nos bancos de dados de vulnerabilidades

O pacote e a versão extraídos são verificados em múltiplos bancos de dados de vulnerabilidades padrão da indústria que agregam problemas de segurança conhecidos de fontes como o National Vulnerability Database, GitHub Security Advisories e o registro npm.

Esses bancos de dados são sincronizados regularmente para garantir cobertura atualizada.

3. Comparar com faixas de versões afetadas

Cada vulnerabilidade define uma ou mais faixas de versões afetadas. O cside verifica se a versão detectada está dentro de alguma faixa afetada. Por exemplo, uma vulnerabilidade pode especificar:

• Introduzida em: 0.0.0
• Corrigida em: 4.17.22

Neste caso, qualquer versão do lodash abaixo de 4.17.22 seria sinalizada - incluindo 4.17.21.

Exemplo: lodash 4.17.21

O script https://cdnjs.cloudflare.com/ajax/libs/lodash.js/4.17.21/lodash.min.js é um exemplo real de um script que o cside reportaria como vulnerável.

O Lodash 4.17.21 é afetado por vulnerabilidades conhecidas, incluindo problemas de prototype pollution rastreados em registros públicos de CVE. Quando o cside detecta este script no seu site, o alerta inclui:

• ID da Vulnerabilidade - O identificador CVE ou advisory (por exemplo, CVE-2025-XXXX, GHSA-XXXX)
• Severidade - O nível de severidade da vulnerabilidade
• Resumo - Uma breve descrição da vulnerabilidade
• Fonte - Qual banco de dados de vulnerabilidades sinalizou o problema

O que reportamos

Quando um script vulnerável é detectado, o cside cria um alerta de script visível no seu painel com os seguintes detalhes:

Tipos de vulnerabilidades detectadas

O cside detecta várias categorias de scripts vulneráveis:

• CVEs Conhecidos - Scripts com vulnerabilidades divulgadas publicamente no National Vulnerability Database
• GitHub Security Advisories - Vulnerabilidades reportadas através do sistema de advisories do GitHub (identificadores GHSA)
• Pacotes Maliciosos - Scripts de pacotes npm que foram sinalizados como intencionalmente maliciosos (identificadores MAL)

CDNs e formatos de URL suportados

O cside pode extrair informações de bibliotecas de scripts servidos por qualquer um destes padrões:

• unpkg.com - unpkg.com/@scope/package@version/file.js
• jsDelivr - cdn.jsdelivr.net/npm/package@version/file.js
• cdnjs - cdnjs.cloudflare.com/ajax/libs/package/version/file.js
• Parâmetros de query - Qualquer URL com parâmetros de versão ?v= ou ?ver=
• Versionamento no nome do arquivo - Scripts como package-1.2.3.min.js ou package.1.2.3.js
• Versionamento no caminho - URLs como /1.2.3/package.js

Filtragem de notificações de vulnerabilidades

O Noise Filter de Vulnerable Script Detected fica ativado por padrão e afeta notificações imediatas de vulnerabilidades rotineiras. Ele pode suprimir notificações quando há alta confiança de que o achado afeta apenas código de servidor ou compilação e não é alcançável pelo navegador. Os achados continuam pontuados e visíveis no dashboard e permanecem nos resumos diários e semanais.

Sem um veredito disponível, uma notificação rotineira pode aguardar a verificação. A espera padrão é de 30 minutos; depois, achados não resolvidos são liberados para envio. Essa é uma janela de verificação, não uma garantia de prazo de entrega. Achados de gravidade alta ou crítica e malware usam o gatilho imediato High-risk Vulnerability e nunca são filtrados por essa opção. Desative-a para receber todos os achados rotineiros na programação imediata.

Abrir um alerta pelo e-mail

Os e-mails de alertas individuais de scripts vulneráveis e vulnerabilidades de alto risco incluem um botão View alert in cside. Clique nele para abrir o alerta correspondente no painel e revisar os scripts afetados. O identificador ou a referência da vulnerabilidade continua sendo um link separado para o OSV ou o aviso original.

Se uma notificação não incluir um link direto para o alerta, o botão mostra View alerts in cside e abre Alerts para o domínio afetado. Encontre o alerta usando a busca por alvo e o filtro de status.

Consulte Resolver alertas para conhecer as ações de revisão e Notificações para configurar o envio.

Ações recomendadas

Quando o cside sinaliza um script vulnerável no seu site:

1. Revise os detalhes da vulnerabilidade no seu painel para entender a severidade e o impacto
2. Atualize o script para uma versão corrigida, se disponível
3. Avalie o risco - determine se a vulnerabilidade é explorável no seu uso específico
4. Remova o script se não estiver mais sendo mantido ou se não existir uma versão corrigida