Zum Inhalt des Sicherheitsberichts springen

Sicherheitsberichte zu Open Source

Ein Tool auf GitHub gefunden?
Prüfen Sie es vor der Installation.

Sehen Sie, was der Plexicus-Sicherheitsscan in beliebten Open-Source-Projekten gemeldet hat, von geleakten Secrets bis zu riskantem Code, und was noch genauer geprüft werden sollte. Kostenlos, ohne Anmeldung.

Projekt suchen So prüfen Sie jedes Repo

Wir zeigen, was ein Scan gefunden hat und was er nicht geprüft hat. Kein Scan kann garantieren, dass ein Projekt sicher ist.

Gelistete Projekte
39
Mit Scan-Ergebnissen
39
Für den Scan eingeplant
0

So funktioniert es

Drei Schritte vor der Installation

  1. Projekt nachschlagen

    Suchen Sie nach Projektname oder Eigentümer.

  2. Sehen, was der Scan gemeldet hat

    Alerts nach Art und Schweregrad aus dem letzten Plexicus-Scan.

  3. Entscheiden, wie Sie es nutzen

    Praktische nächste Schritte und was der Scan nicht abgedeckt hat.

Sicherheitsberichte

Projekt nachschlagen

Projekte mit Scan-Ergebnissen stehen zuerst.

Sterne zeigen Beliebtheit, nicht Sicherheit. Scan-Ergebnisse können Alerts aus früheren Scans desselben Repositorys enthalten.

Nicht in der Liste?

Scannen Sie jedes GitHub-Repository selbst mit dem kostenlosen Plexicus SAST-Tool.

Repository kostenlos scannen

Checkliste

So prüfen Sie, ob ein GitHub-Repo sicher ist

Sterne zeigen, dass ein Projekt beliebt ist, nicht dass es sicher ist. Gehen Sie diese Punkte durch, bevor Sie etwas von GitHub installieren.

  1. Prüfen, wer es pflegt

    Achten Sie auf aktive Maintainer, neue Commits und schnelle Antworten auf Issues. Ein aufgegebenes Projekt bekommt keine Sicherheitsupdates mehr.

  2. Issues und Security Advisories lesen

    Die Tabs Issues und Security zeigen gemeldete Schwachstellen und wie schnell sie behoben wurden.

  3. Nach geleakten Secrets suchen

    API-Schlüssel oder Passwörter im Code sind ein Warnsignal dafür, wie das ganze Projekt mit Sicherheit umgeht.

    In Plexicus-Berichten enthalten

  4. Den Code auf riskante Muster scannen

    Statische Analyse findet Injection, unsicheren Dateizugriff, schwache Kryptografie und Ähnliches, bevor Sie etwas ausführen.

    In Plexicus-Berichten enthalten

  5. Abhängigkeiten prüfen

    Suchen Sie in der Abhängigkeitsliste nach Paketen mit bekannten Schwachstellen und nach Namen, die anderen zum Verwechseln ähneln (Typosquatting).

  6. Berechtigungen begrenzen

    KI-Agenten und MCP-Server fragen oft nach Zugriff auf Ihre Dateien, Shell, E-Mails oder Tokens. Geben Sie nur frei, was die Aufgabe braucht.

  7. Zuerst isoliert ausprobieren

    Führen Sie neue Tools in einem Container oder einer virtuellen Maschine mit Wegwerf-Zugangsdaten aus und legen Sie sich auf ein bestimmtes Release fest.

FAQ

Fragen zur Sicherheit von Open Source

Woher weiß ich, ob ein GitHub-Repository sicher ist?

Keine einzelne Prüfung beweist es. Schauen Sie, wer das Projekt pflegt, lesen Sie Issues und Advisories, scannen Sie den Code auf Secrets und riskante Muster und probieren Sie es zuerst isoliert aus. Die Plexicus-Berichte decken bei beliebten Projekten den Scan-Teil ab.

Ist ein beliebtes Repo mit vielen Sternen automatisch sicher?

Nein. Sterne messen Beliebtheit. Auch beliebte Projekte können geleakte Secrets, anfälligen Code oder riskante Standardeinstellungen enthalten.

Was zeigt ein Plexicus-Sicherheitsbericht?

Jeder Bericht zeigt die automatisierten Alerts aus Plexicus-Scans, gruppiert nach Art (zum Beispiel Secrets oder Code-Sicherheit) und Schweregrad, sowie die durchgeführten Prüfungen. Alerts sind Hinweise zur Prüfung, keine bestätigten Schwachstellen.

Bedeutet null Alerts, dass ein Projekt sicher ist?

Nein. Es heißt nur, dass die durchgeführten Prüfungen nichts gemeldet haben. Bereiche, die der Scan nicht abgedeckt hat, und später hinzugefügter Code können das Bild ändern.

Ich pflege ein gelistetes Projekt. Wie korrigiere ich einen Bericht?

Öffnen Sie den Bericht Ihres Projekts und senden Sie über den Korrekturlink den passenden Commit oder einen Nachweis für die Behebung. Plexicus prüft die Anfrage und kann einen neuen Scan veranlassen.

Können Sie ein Repository scannen, das nicht gelistet ist?

Ja. Mit dem kostenlosen Plexicus SAST-Tool können Sie jedes GitHub-Repository scannen, auf das Sie Zugriff haben.

Ihr eigener Code

Scannen Sie Ihr Repository
kostenlos.

Verbinden Sie GitHub und sehen Sie, was Plexicus in Ihrem eigenen Code meldet.

Repository kostenlos scannen
Qualifizierung

Prüfen Sie, ob AI Swarm Pentest zu Ihrer Umgebung passt.

Teilen Sie den wichtigsten Kontext. Wir prüfen den Umfang und nennen den nächsten kommerziellen Schritt.

Vor dem Absenden — prüfen Sie, ob Sie passen

0 / 280

Keine Verpflichtung. Wenn Sie nicht passen, sagen wir es Ihnen.
SAMPLE HANDOVER · ILLUSTRATIVE

Sample evidence handover

A trimmed view of what your team receives at the end of an AI Swarm Pentest engagement. Real engagements include full technical evidence, executive narrative, and a remediation plan.

VALIDATED FINDING Evidence attached

Server-Side Request Forgery in webhooks/receiver

demo-project/sample-app · src/webhooks/receiver.py:42

SeverityHigh CVSS 3.18.6 Priority79 Confirmedvia replay

Untrusted caller-supplied URLs reach an internal egress without an allowlist. Replayed in a sandbox against a fresh authorized target — the same control was validated to fail twice.

REVIEWER-READY REMEDIATION Merge-ready PR

Validate the target URL against an allowlist of permitted hostnames. Reject private/internal IP ranges. Enforce HTTPS only.

plexicus/remediation/webhooks-ssrf 3 changed · 0 new files
42resp = requests.get(target_url)
42+if not is_allowed_host(target_url):
43+  raise WebhookRejected(target_url)
44+resp = requests.get(target_url, timeout=5)
Every engagement hands over:
  • Executive briefing
  • Validated findings list
  • Merge-ready PRs
  • Compliance mapping (NIS2 · DORA · CRA)
 Private Runde Für Investoren