Repolode
Enviar
songjianyang

songjianyang/xss-audit

Uma skill de agente de IA que faz uma auditoria estática de XSS em 14 camadas em bases de código React, TypeScript e JavaScript e gera um relatório.

Ver no GitHub
Estrelas
553
Forks
149
Issues abertas
0
Último commit
há 14 dias

O que é?

xss-audit é uma skill para agentes de programação com IA que realiza uma análise estática de cross-site scripting (XSS) em projetos React, TypeScript e JavaScript. Ela percorre 14 camadas de verificações que abrangem sinks do DOM, como innerHTML e dangerouslySetInnerHTML, tratamento de URLs e navegação, JSON serializado em tags script, cadeias de prototype pollution, postMessage e outras fontes não confiáveis, SVG e MathML, pipelines de Markdown e bypasses de sanitizadores, como mXSS, injeção de CSS, bindings de templates de frameworks e configurações de Trusted Types e CSP.

A skill é acionada com um comando de barra ou de cifrão, opcionalmente acompanhado de um caminho para limitar o escopo. A saída é um arquivo chamado xss-audit-report.md, que lista os caminhos auditados e as exclusões, traz um resumo executivo com contagens por gravidade, achados de gravidade alta, média e baixa com locais nos arquivos e evidências, uma seção separada de revisão manual para fluxos de dados não confirmados e um resumo por camada que diferencia correspondências de padrões de vulnerabilidades confirmadas.

As correspondências encontradas na busca são tratadas como pistas, não como bugs confirmados, e o projeto ressalta que a análise estática pode gerar falsos positivos e falsos negativos.

Recursos principais

  • 01Abrange 14 camadas de verificações de XSS, de sinks do DOM a bindings de templates de frameworks
  • 02Tem como alvo bases de código React, TypeScript e JavaScript
  • 03Inclui verificações de SVG, MathML, injeção de CSS e bypasses de sanitizadores por mXSS
  • 04Verifica cadeias de prototype pollution e fluxos de dados não confiáveis via postMessage
  • 05Gera xss-audit-report.md com contagens por gravidade e evidências para cada achado

Casos de uso

  • Auditar uma base de código front-end em busca de XSS antes de uma versão
  • Analisar o JavaScript de um alvo de bug bounty em busca de sinks de injeção
  • Investigar pipelines de sanitização e renderização de Markdown em busca de riscos de mXSS
  • Verificar se as configurações de Trusted Types e CSP bloqueiam caminhos de injeção no DOM

Início rápido

  1. 1

    Copie o diretório skill para o diretório skills do seu agente

  2. 2

    Execute a auditoria em um caminho do seu agente

    /xss-audit src/

Antes de usar

  • A análise é apenas estática, portanto pode gerar falsos positivos e falsos negativos.
  • Os relatórios gerados podem conter caminhos sensíveis, código-fonte ou credenciais; revise-os antes de compartilhar.

Em coleções

Frameworks e apps de agentes de IA open source

Tópicos

#xss#security-audit#static-analysis#react#typescript#javascript#ai-agent#appsec

Perguntas frequentes

O que é xss-audit?
Uma skill de agente de IA que faz uma auditoria estática de XSS em 14 camadas em bases de código React, TypeScript e JavaScript e gera um relatório. xss-audit é uma skill para agentes de programação com IA que realiza uma análise estática de cross-site scripting (XSS) em projetos React, TypeScript e JavaScript. Ela percorre 14 camadas de verificações que abrangem sinks do DOM, como innerHTML e dangerouslySetInnerHTML, tratamento de URLs e navegação, JSON serializado em tags script, cadeias de prototype pollution, postMessage e outras fontes não confiáveis, SVG e MathML, pipelines de Markdown e bypasses de sanitizadores, como mXSS, injeção de CSS, bindings de templates de frameworks e configurações de Trusted Types e CSP.
xss-audit é gratuito? Qual é a licença?
xss-audit é open source sob a licença MIT. Confira os termos da licença antes de usá-lo em produtos comerciais.
xss-audit ainda é mantido?
Manutenção ativa. O último commit de xss-audit foi em 24 de out. de 2026.
Para que posso usar xss-audit?
Auditar uma base de código front-end em busca de XSS antes de uma versão Analisar o JavaScript de um alvo de bug bounty em busca de sinks de injeção Investigar pipelines de sanitização e renderização de Markdown em busca de riscos de mXSS Verificar se as configurações de Trusted Types e CSP bloqueiam caminhos de injeção no DOM
Como instalar xss-audit?
Copie o diretório skill para o diretório skills do seu agente Execute a auditoria em um caminho do seu agente: /xss-audit src/
Onde consigo xss-audit?
O código-fonte e as instruções de instalação estão no GitHub: https://github.com/songjianyang/xss-audit

Resumo gerado por IA a partir do README do projeto. As estatísticas do GitHub são atualizadas diariamente.

Projetos relacionados

OWASP / CheatSheetSeries

Uma coleção de guias OWASP concisos e específicos por tema, com boas práticas de segurança para desenvolvedores que criam aplicações.

Segurança#application-security#owasp#security-best-practices
33,9 mil+104 esta semana4,7 milJavaScriptCC-BY-SA-4.0Atualizado ontem