Abhängigkeits-/CVE-Scanner
Scannen Sie das Abhängigkeitsmanifest Ihres Projekts und erhalten Sie jede bekannte CVE, die es betrifft — eingestuft nach tatsächlicher Ausnutzbarkeit, nicht nur nach einem rohen Schweregrad.
Die meisten Sicherheitsverletzungen beginnen bei einer Abhängigkeit, die niemand im Blick hatte
Schwachstellen in der Lieferkette und in Drittanbieter-Paketen sind heute einer der häufigsten Wege, wie Angreifer eindringen — weil es der Teil des Stacks ist, den Teams am seltensten prüfen.
Vollständiger Abhängigkeitsbaum
Direkte und transitive Abhängigkeiten werden gescannt, da die meisten ausnutzbaren CVEs zwei oder drei Ebenen tief in einem Paketbaum liegen, nicht ganz oben.
Live-CVE- & KEV-Abgleich
Jede Paketversion wird gegen aktuelle CVE- und CISA-KEV-Daten geprüft, sodass nachweislich ausgenutzte Schwachstellen markiert werden, nicht nur theoretische.
Ausnutzbarkeit statt nur Schweregrad
Ein CVSS-Score allein sagt nicht, was zuerst behoben werden sollte — Erreichbarkeit und Verfügbarkeit von Exploits verschieben einen Befund in der Liste nach oben oder unten.
Handlungsempfehlung
Jeder Befund enthält die minimal sichere Version, auf die aktualisiert werden sollte — nicht nur eine Schwachstellen-ID, die Sie selbst recherchieren müssten.
Eine mehrstufige Schwachstellen-Intelligence-Pipeline
Statt einer einzigen flachen Abfrage durchläuft jeder Scan vier Stufen — jede grenzt die rohen CVE-Treffer weiter ein, bis nur noch übrig bleibt, was Ihr Team tatsächlich beheben muss.
Mehr als nur deklarierte Abhängigkeiten
Moderne Scanner gehen über die Pakete hinaus, die oben in package.json oder requirements.txt aufgeführt sind.
Transitiver Auflösungsbaum
Vollständige Lockfiles (package-lock.json, Cargo.lock, poetry.lock) werden zu einem vollständigen gerichteten azyklischen Graphen (DAG) direkter und tief verschachtelter indirekter Abhängigkeiten geparst — keine flache, oberflächliche Liste.
SAST-Erreichbarkeitsanalyse
Der eigentliche Wendepunkt: Der AST Ihres eigenen Codes wird geparst, um zu prüfen, ob er die anfällige Funktion tatsächlich importiert und aufruft. Ein CVE mit CVSS 9.8 in einem Modul, das Sie nie aufrufen, sinkt im tatsächlichen Risiko drastisch.
Ein CVSS-Score war nie das ganze Bild
Statt sich nur auf einen statischen CVSS-Basiswert zu verlassen, wird jeder Treffer mit Live-Bedrohungsdaten-Feeds korreliert.
EPSS
Das Exploit Prediction Scoring System (EPSS) — ein auf Echtzeit-Netzwerktelemetrie trainiertes ML-Modell — schätzt die tägliche Wahrscheinlichkeit (0–100 %), dass ein CVE innerhalb von 30 Tagen in freier Wildbahn ausgenutzt wird.
CISA KEV
Der Katalog bekannter ausgenutzter Schwachstellen (KEV) wird abgeglichen, um CVEs zu kennzeichnen, die gerade jetzt aktiv in echten Angriffskampagnen ausgenutzt werden.
Öffentlicher PoC-Tracker
Sicherheitsforschungs-Repositories und Code-Hosting-Plattformen werden nach bereits kursierendem funktionsfähigem Proof-of-Concept-Exploit-Code für einen Treffer durchsucht.
Der Gewinn: Signal statt Rauschen
Allein die Erreichbarkeitsfilterung eliminiert typischerweise etwa 70–80 % der markierten CVEs, die nicht auf Ihren laufenden Code zutreffen — der Rest ist das, was Ihr Team wirklich prüfen muss.
Vom Manifest zum gemergten Fix
Vier Phasen verwandeln ein Lockfile in einen Pull Request.
Manifest-Parsing & AST-Graphing
Lockfiles werden zum vollständigen Abhängigkeitsgraphen geparst, dann wird der eigene Aufrufgraph der Anwendung analysiert, um jede Funktion als erreichbar oder nicht erreichbar zu kennzeichnen.
Schwachstellen-Intelligence-Mapping
CVE-Datenbanken, EPSS-Wahrscheinlichkeits-Engines, CISA-KEV-Feeds und Hersteller-Advisories werden für jede passende Paketversion abgefragt.
Kontextbezogene Risikobewertung
Ein zusammengesetzter Real Exploitability Index kombiniert den CVSS-Basiswert, die EPSS-Wahrscheinlichkeit, die Erreichbarkeit und den Deployment-Kontext zu einem einzigen Rangwert.
Automatisierte Abhilfe & PR-Generierung
Ein präziser Pull Request wird zur minimalen, nicht brechenden gepatchten Version generiert, annotiert mit Erreichbarkeitskontext und Patch-Impact-Analyse.
Alte Scanner vs. eine High-Tech-Pipeline
| Faktor | Alte Scanner | High-Tech-Scanner |
|---|---|---|
| Primäre Metrik | CVSS-Basiswert | Real Exploitability Index (EPSS + Erreichbarkeit) |
| Code-Bewusstsein | Nur Paketpräsenz | Aufrufgraph-Erreichbarkeit (AST-Analyse) |
| Exploit-Kontext | Statische Datenbankabfrage | CISA KEV + PoC-Verfügbarkeit + Live-Bedrohungsdaten |
| Transitive Abhängigkeiten | Flache, oberflächliche Listen | Tiefer gerichteter azyklischer Graph (DAG) |
| Rauschpegel | Hohes Volumen an Fehlalarmen | Geringes Rauschen — filtert ~70–80 % der nicht erreichbaren CVEs heraus |
Sehen Sie es in Ihrem eigenen Perimeter
Tell us where you are today. A CYBORA engineer — not a salesperson — will come back with what actually applies to your situation.
- Reply within one business day
- Scoped to your regulatory frameworks
- No obligation, no sales pitch
Take control of your perimeter
Register for a pilot demonstration of the CYBORA GRC and HybridSOC platform. One team, accountable for your full cyber security lifecycle.