Repolode
Enviar
songjianyang

songjianyang/xss-audit

Una skill de agente de IA que realiza una auditoría estática de XSS en 14 capas sobre bases de código React, TypeScript y JavaScript, y genera un informe.

Ver en GitHub
Estrellas
553
Forks
149
Issues abiertos
0
Último commit
hace 14 días

¿Qué es?

xss-audit es una skill para agentes de programación con IA que realiza una revisión estática de cross-site scripting (XSS) en proyectos React, TypeScript y JavaScript. Recorre 14 capas de comprobaciones que abarcan sinks del DOM como innerHTML y dangerouslySetInnerHTML, el manejo de URL y navegación, JSON serializado dentro de etiquetas script, cadenas de contaminación de prototipos, postMessage y otras fuentes no confiables, SVG y MathML, pipelines de Markdown y bypasses de sanitizadores como mXSS, inyección de CSS, bindings de plantillas de frameworks, y la configuración de Trusted Types y CSP.

La skill se invoca con un comando de barra o de dólar, y se le puede pasar una ruta para limitar el alcance. Su salida es un archivo llamado xss-audit-report.md que enumera las rutas auditadas y las exclusiones, incluye un resumen ejecutivo con el recuento por nivel de gravedad, hallazgos de gravedad alta, media y baja con la ubicación del archivo y evidencias, una sección aparte de revisión manual para flujos de datos sin confirmar y un resumen por capa que distingue las coincidencias de patrones de las vulnerabilidades confirmadas.

Las coincidencias encontradas en las búsquedas se consideran indicios, no errores confirmados, y el proyecto advierte que el análisis estático puede producir tanto falsos positivos como falsos negativos.

Funciones clave

  • 01Abarca 14 capas de comprobaciones de XSS, desde sinks del DOM hasta bindings de plantillas de frameworks
  • 02Está dirigida a bases de código React, TypeScript y JavaScript
  • 03Incluye comprobaciones de SVG, MathML, inyección de CSS y bypasses de sanitizadores por mXSS
  • 04Comprueba cadenas de contaminación de prototipos y flujos de datos no confiables mediante postMessage
  • 05Genera xss-audit-report.md con recuentos por nivel de gravedad y evidencias para cada hallazgo

Casos de uso

  • Auditar una base de código front-end en busca de XSS antes de una versión
  • Revisar el JavaScript de un objetivo de bug bounty en busca de sinks de inyección
  • Analizar los pipelines de sanitización y renderizado de Markdown para detectar riesgos de mXSS
  • Comprobar si la configuración de Trusted Types y CSP bloquea las vías de inyección en el DOM

Inicio rápido

  1. 1

    Copia el directorio skill en el directorio skills de tu agente

  2. 2

    Ejecuta la auditoría en una ruta de tu agente

    /xss-audit src/

Antes de usarlo

  • Solo realiza análisis estático, por lo que puede generar falsos positivos y falsos negativos.
  • Los informes generados pueden contener rutas sensibles, código fuente o credenciales; revísalos antes de compartirlos.

En colecciones

Frameworks y apps de agentes de IA open source

Temas

#xss#security-audit#static-analysis#react#typescript#javascript#ai-agent#appsec

Preguntas frecuentes

¿Qué es xss-audit?
Una skill de agente de IA que realiza una auditoría estática de XSS en 14 capas sobre bases de código React, TypeScript y JavaScript, y genera un informe. xss-audit es una skill para agentes de programación con IA que realiza una revisión estática de cross-site scripting (XSS) en proyectos React, TypeScript y JavaScript. Recorre 14 capas de comprobaciones que abarcan sinks del DOM como innerHTML y dangerouslySetInnerHTML, el manejo de URL y navegación, JSON serializado dentro de etiquetas script, cadenas de contaminación de prototipos, postMessage y otras fuentes no confiables, SVG y MathML, pipelines de Markdown y bypasses de sanitizadores como mXSS, inyección de CSS, bindings de plantillas de frameworks, y la configuración de Trusted Types y CSP.
¿xss-audit es gratuito? ¿Qué licencia tiene?
xss-audit es open source bajo la licencia MIT. Revisa los términos de la licencia antes de usarlo en productos comerciales.
¿xss-audit sigue mantenido?
Mantenimiento activo. El último commit de xss-audit fue el 24 oct 2026.
¿Para qué puedo usar xss-audit?
Auditar una base de código front-end en busca de XSS antes de una versión Revisar el JavaScript de un objetivo de bug bounty en busca de sinks de inyección Analizar los pipelines de sanitización y renderizado de Markdown para detectar riesgos de mXSS Comprobar si la configuración de Trusted Types y CSP bloquea las vías de inyección en el DOM
¿Cómo se instala xss-audit?
Copia el directorio skill en el directorio skills de tu agente Ejecuta la auditoría en una ruta de tu agente: /xss-audit src/
¿Dónde consigo xss-audit?
El código fuente y las instrucciones de instalación están en GitHub: https://github.com/songjianyang/xss-audit

Resumen generado por IA a partir del README del proyecto. Las estadísticas de GitHub se actualizan a diario.

Proyectos relacionados

OWASP / CheatSheetSeries

Colección de guías OWASP concisas y específicas por tema, con buenas prácticas de seguridad aplicables para desarrolladores de aplicaciones.

Seguridad#application-security#owasp#security-best-practices
33,9 mil+104 esta semana4,7 milJavaScriptCC-BY-SA-4.0Actualizado ayer