EN PT
Pedir uma demo

Plataforma

Risco, contexto e correção, num lugar só.

Descoberta, priorização, análise de impacto, monitoramento e correção num só lugar, sem tocar no seu código.

01 · VisibilidadeTodo o seu ambiente,
numa só visão.

Cada projeto, repositório, pipeline e imagem em produção, mapeados sozinhos e avaliados pelo que de fato importa.

Dashboard

ParaLiderança e compliance

Entre e veja se está mais seguro que antes.

A primeira tela depois do login cobre a organização inteira: vulnerabilidades em aberto por severidade comparadas com a semana anterior, a tendência de 30 dias, resultados do OWASP Top 10 e do Sonar, e os projetos com mais risco.

Leavory · Dashboard 4 projetos

Olá, Alex. Aqui você acompanha projetos, repositórios e a segurança das aplicações num lugar só.

Descoberta de projetos: há 41 min Descoberta de repositórios: há 6 min Descoberta de pipelines: há 5 min

Crítica12

2 vs. semana anterior

Alta239

23 vs. semana anterior

Média116

4 vs. semana anterior

Baixa41

4 vs. semana anterior

Segredos2

— sem mudança nesta semana

Vulnerabilidades, últimos 30 dias

CríticaAltaMédia

Resumo rápido

  • Projetos encontrados4
  • Repositórios encontrados148
  • Pipelines encontradas214
  • Pipelines com análise do Trivy58

Distribuição por severidade

410 vulnerabilidades em aberto

Crítica 12 2.9%
Alta 239 58.3%
Média 116 28.3%
Baixa 41 10.0%
Segredos 2 0.5%

OWASP Top 10

  • A01 Acesso quebrado21
  • A02 Criptografia14
  • A03 Injeção18
  • A04 Design inseguro6
  • A05 Má configuração27
  • A06 Comp. vulneráveis34
  • A07 Autenticação9
  • A08 Integridade5
  • A09 Logs e alertas7
  • A10 SSRF3

Issues do Sonar

  • Bugs23
  • Vulnerabilidades11
  • Code smells138
  • Security hotspots29

Projetos com mais vulnerabilidades

# Projeto % do total Vulnerabilidades
1 Commerce 218
2 Finance 102
3 Identity 56
4 Plataforma 34

Pronto para auditoria desde o início

A análise estática do OWASP Top 10 roda na sua pipeline a cada build, ao lado do SCA e do SBOM, num step que o Leavory escreve. O próximo questionário, auditoria ou pentest parte de evidência que você já tem, sem correria.

Projetos

ParaGestores de plataforma e de engenharia

Conecte uma vez, e a organização inteira está mapeada.

Na primeira execução, o Leavory acha sozinho cada projeto da organização e mostra as linguagens, o total de repositórios e as vulnerabilidades somadas de cada um. Mais um clique descobre os repositórios e as pipelines de todos.

Leavory · Projetos 4 projetos descobertos

4 projetos encontrados, última busca em 26/09/2026, 08:47.

Descobrir repositórios e pipelines de todos Atualizar

Descoberta de projetos: há 41 min Descoberta de repositórios: há 6 min Descoberta de pipelines: há 5 min

Total de projetos

4

Total de repositórios

148

Tecnologias distintas

6

Vulnerabilidades

12 Críticas 239 Altas 116 Médias

Saúde

82Boa

Ainda não descoberto

0
Projeto Descrição Linguagem Repositórios Ações
Commerce Loja, checkout e pagamentos JSGOPY.NET 52 Descoberta Abrir no Azure DevOps
Plataforma Infra compartilhada e Helm charts GOPYRS 37 Descoberta Abrir no Azure DevOps
Finance Cobrança, faturas e relatórios PYJAVAJS 38 Descoberta Abrir no Azure DevOps
Identity — JAVAJS 21 Descoberta Abrir no Azure DevOps

Mostrando 4 de 4 projetos

Abra um projeto e veja como ele entrega, não só o que ele carrega.

Cada projeto tem sua visão geral: métricas DORA como frequência de deploy, taxa de falha e tempo de recuperação, as execuções de pipeline dia a dia e 30 dias de tendência das vulnerabilidades. Você vê a CVE nova chegar, e sumir.

Leavory · Commerce 52 repositórios

Projetos

CommerceNode.jsGoPython.NET

Abrir no Azure DevOps

Visão geralRepositóriosPipelinesPacotesGovernança

Inventário

Repositórios

52

Pipelines

84

Pipelines com falha

3

Pacotes vulneráveis

59

Entrega (métricas DORA)

Frequência de deploy

6,4/dia

Taxa de falha

8.1%

MTTR

3h 12m

Duração média

11m 20s

Atividade de pipelines, últimos 30 dias

SucessoFalhaOutros

Vulnerabilidades, últimos 30 dias

CríticaAltaMédia

Saúde do repo

ParaDesenvolvedoresGestores de plataforma e de engenharia

Cada repositório, com nota de 0 a 100.

Em cada projeto, o Leavory lista os repositórios com nota de saúde de 0 a 100, junto das vulnerabilidades abertas, pacotes vulneráveis, pipelines, último commit e última release. Uma tabela que devs e gestores leem igual.

Leavory · Repositórios 148 repositórios descobertos

Descoberta de projetos: há 41 min Descoberta de repositórios: há 6 min Descoberta de pipelines: há 5 min

Total de repositórios

148

Com pipeline

91

Ativos

148

Falhas por origem

236 Aplicação 131 Container

Vulnerabilidades

12 Críticas 239 Altas 116 Médias

Saúde geral

82Boa
Repositório Linguagem Pipelines Saúde Vulnerabilidades Pacotes vuln. Último commit Última release
checkout-platform
Commerce 		JSGO 4 pipelines
922
há 3 dias 		31Crítica 5 Críticas 101 Altas 12 Médias 21 há 3 dias
Ka1f93c2
Merged PR 236: fix cart total rounding 		release/3.14.2
9/21/2026
payments-api
Commerce 		GO 2 pipelines
310
há 5 dias 		44Crítica 4 Críticas 37 Altas 6 Médias 24 há 5 dias
L5e02b7d
Merged PR 218: bump grpc to 1.66 		release/2.9.0
9/18/2026
billing-service
Finance 		PY 2 pipelines
420
há 6 dias 		58Regular 1 Críticas 39 Altas 35 Médias 11 há 6 dias
Tc47d1a9
Merged PR 205: add invoice retry job 		release/1.12.3
9/14/2026
auth-service
Identity 		JAVA 1 pipeline
310
há 12 dias 		74Regular 0 Críticas 16 Altas 22 Médias 0 há 12 dias
T98ab3f0
Merged PR 187: rotate signing keys on deploy 		release/6.1.0
9/10/2026
infra-helm-charts
Plataforma 		— 38 pipelines
1513718
há 1 dia 		83Boa 1 Críticas 4 Altas 9 Médias 0 há 1 dia
N7fd0e14
fix(gateway): raise ingress memory limits 		release/7.3.0
9/23/2026

Mostrando 5 de 148 repositórios, ordenados por saúde

Para desenvolvedores

Abra o repositório que é seu e veja o que está falhando, quais pacotes estão vulneráveis e o que saiu na última release.

Para gestores

Ordene todos os repositórios por saúde e veja onde o risco se concentra, sem pedir relatório de status a cada time.

Pipelines

ParaDesenvolvedoresGestores de plataforma e de engenharia

Toda pipeline, um dashboard, zero ponto cego.

O Leavory reúne todas as pipelines do Azure DevOps, GitHub e GitLab numa visão só, para você saber sempre quais builds trouxeram uma vulnerabilidade nova e quais estão limpos.

Leavory · Pipelines 10 pipelines
checkout-web / build-deployhá 4 min 2 Críticas1 Alta Falha
payments-api / releasehá 12 min 1 Crítica3 Altas Falha
auth-service / cihá 28 min 1 Alta Passou
billing-service / cihá 41 min 2 Médias Passou
mobile-gateway / build-deployhá 1 h 2 Altas1 Média Falha
notifications-worker / cihá 2 h 3 Baixas Passou
infra-terraform / planhá 3 min Limpa Rodando
docs-portal / deployhá 5 h Limpa Passou
inventory-service / cihá 6 h 1 Média Passou
reporting-api / releasehá 9 h 1 Crítica Falha

OWASP Top 10, pronto para adicionar

Escolha um repositório e o Leavory escreve o step do Semgrep para Azure Pipelines, GitHub Actions ou GitLab CI. O time revisa e põe na pipeline: o Leavory segue só com leitura e coleta os resultados.

Monitoramento de imagens

ParaTimes de segurança

Suas imagens não mudam. As falhas delas, sim.

Agrupe num projeto as imagens que seus workloads rodam, e o Leavory cuida do resto: scan completo todo dia às 00:00 e às 12:00, e alerta assim que uma piorar, por e-mail, Microsoft Teams, Slack ou todos, como o time preferir. Sem rodar pipeline, sem ninguém clicar em scan.

Leavory · production-cluster Próximo scan às 00:00 UTC

6 imagens · últimos 7 dias

ImagemSegTerQuaQuiSexSábDom
nginx:1.27Docker Hub · imagem inalterada
redis:7.2Docker Hub · imagem inalterada
postgres:16Docker Hub · imagem inalterada
node:20-alpineDocker Hub · imagem inalterada
payments-api:2.4.1AWS ECR · imagem inalterada
ghcr.io/acme/gateway:latestGHCR · imagem inalterada

LimpaMédiaAltaCrítica

Cada par de células é um dia: 00:00, 12:00

O mesmo alerta, onde o seu time já trabalha

E-mail

alerts@your-company.com, pelo seu SMTP

Novas vulnerabilidades em production-cluster

1 imagem piorou desde o scan anterior.

nginx:1.27+1 Crítica

CVE-2026-28114 · libxml2

Resultados completos em CSV anexo

Slack

#security-alerts

L Leavory APP

production-cluster: novas vulnerabilidades em 1 imagem

nginx:1.27 +1 Crítica

Crítica 3 (+1) · Alta 9 · Média 14

Microsoft Teams

Security › Alertas

Leavory via Workflows

production-cluster: novas vulnerabilidades em 1 imagem

Crítica
3 (+1)
Alta
9
nginx:1.27
+1 Crítica

  • Pega CVEs que saem após o deploy

    Uma imagem limpa no dia do build pode estar exposta uma semana depois. O Leavory reescaneia cada imagem duas vezes por dia com a base mais recente: no dia em que sai uma CVE nova, você sabe quais imagens a têm.

  • Cobre imagens que você não criou

    nginx, redis, postgres, runtimes base: quase tudo em produção vem de terceiros. Adicione qualquer imagem pública ou privada do Docker Hub, GHCR ou AWS ECR. Tags móveis como :latest são conferidas todo dia e a versão nova é baixada sozinha.

  • Um alerta, só quando piorou

    O alerta dispara quando a imagem tem mais vulnerabilidades que no scan anterior, não a cada execução. Envie por e-mail (seu SMTP), Teams, Slack ou todos; cada envio fica registrado como evidência para a auditoria.

02 · InteligênciaDa CVE nova até a correção.

O Trivy diz o que está vulnerável. O Leavory diz o que está sendo explorado agora (CISA KEV), onde cada CVE cai nos seus projetos, quem é o dono e a correção rascunhada para o seu time revisar.

Inteligência de vulnerabilidades

ParaTimes de segurança

Só as CVEs que atingem seus pacotes e já são exploradas.

Todo dia, o Leavory junta seis fontes de vulnerabilidades numa base só. Descarta o que não toca um pacote seu e põe primeiro o que atacantes já exploram. Nenhum feed para rolar, nenhuma CVE alertada só por existir.

Leavory · Inteligência de vulnerabilidades 6 fontes hoje
OSVAlertas de pacotes por ecossistema Sincronizado 06:02
NVDDados de CVE e CVSS Sincronizado 06:05
GitHub Advisoriesnpm, Maven, PyPI, Go, NuGet Sincronizado 06:07
CVE.orgRegistros de CVE Sincronizado 06:09
CISA KEVExploradas ativamente Sincronizado 06:10
EPSSChance de exploração Sincronizado 06:11

Alertas do dia

11 set 2026
  1. 214alertas novos nas seis fontes
  2. 6atingem pacotes seus
  3. 1exploradas ativamente

Cruzados com o SBOM dos seus repositórios, pipelines e imagens de container, até a versão do pacote.

Exige ação

Exploradas primeiro, depois por EPSS
CVE Severidade CISA KEV EPSS Afetados
CVE-2026-28114libxml2 Crítica Explorada 0.94 5 repos, 1 imagem
Commerce, Finance, Platform
CVE-2026-27731jackson-databind Alta Fora do KEV 0.21 2 repos
Identity, Finance
CVE-2026-28002golang.org/x/net Alta Fora do KEV 0.09 3 repos
Commerce, Platform
CVE-2026-27950axios Média Fora do KEV 0.04 4 repos
Commerce
CVE-2026-28190urllib3 Média Fora do KEV 0.02 1 repo
Finance
CVE-2026-27884Newtonsoft.Json Baixa Fora do KEV 0.01 1 repo
Commerce

Exposição do inventário

Veja sua exposição antes do primeiro scan.

Com o Leavory no seu ambiente, o inventário lê cada manifesto de dependências e cruza cada pacote e versão declarados com as CVEs publicadas. Até repositórios cujas pipelines nunca rodaram scan aparecem com suas vulnerabilidades conhecidas.

Leavory · Inventário No seu ambiente · leitura de manifestos ativa

Repositórios inventariados

148

Com manifesto de dependências

131

Pacotes declarados

6,412

Pacotes com CVE conhecida

214

Repositórios mais expostos

Ordenados por severidade, só pelos manifestos
Repositório Manifestos Pacotes Crítica Alta Média Exposição Scan na pipeline
checkout-platformCommerce package.json go.mod 21 / 412 5 31 12 Crítica há 3 dias
legacy-reportsFinance pom.xml 17 / 188 3 22 9 Crítica nunca rodou
payments-apiCommerce go.mod 14 / 96 4 18 6 Crítica há 5 dias
billing-serviceFinance requirements.txt 11 / 74 1 14 10 Crítica há 6 dias
partner-portalCommerce package.json 9 / 355 1 7 15 Crítica nunca rodou
auth-serviceIdentity pom.xml 6 / 142 0 9 8 Alta há 12 dias
data-sync-workerPlataforma pyproject.toml 3 / 58 0 2 5 Média nunca rodou
notifications-workerPlataforma package.json 2 / 121 0 1 3 Média há 2 dias

3 desses repositórios têm CVEs conhecidas e nunca rodaram um scan na pipeline. Sem o inventário, eles nem apareceriam.

  • pom.xml
  • build.gradle
  • package.json
  • requirements.txt
  • pyproject.toml
  • go.mod
  • *.csproj

Opcional. Só os manifestos de dependências, lidos pela API da plataforma com um token só de leitura e sem clone, nunca o seu código-fonte.

Análise de impacto

ParaTimes de segurançaLiderança e compliance

Saiu CVE nova. Veja cada projeto atingido na hora.

O Leavory cruza cada CVE nova com o SBOM de todos os seus repositórios e imagens de container. Em vez de perguntar a cada time se usa o pacote afetado, você recebe a lista de projetos, repositórios e imagens que o carregam, e dos que não carregam.

Leavory · Análise de impacto 3 de 4 projetos · 5 repositórios · 1 imagem afetada

CVE-2026-28114 · libxml2 · Crítica

RepositórioImagem de containerProjeto não afetado

Corrigida no libxml2 2.13.6 · nginx:1.27.4

Correção com IA

ParaDesenvolvedoresLiderança e compliance

A IA explica o risco e rascunha a correção. O seu time revisa.

Para cada achado, a IA diz em linguagem simples se ele é explorável e o que mudar primeiro. Nas imagens de container, reescreve o Dockerfile com a menor mudança que fecha as vulnerabilidades. Para a liderança, transforma os números num resumo executivo.

Leavory · Correção por IA Sugestão da IA, revise antes de aplicar

CVE-2026-28114 · libxml2 · Críticaem nginx:1.27 (infra-helm-charts)

O que isso significa

IA
  • O libxml2 é o parser de XML dentro da imagem base do nginx. Um payload XML malicioso pode estourar o heap e executar código no container.
  • Já é explorada ativamente (CISA KEV): não é um achado teórico.
  • Comece pelo nginx:1.27 no infra-helm-charts: subir a imagem base resolve ali; depois refaça o build dos repositórios com essa base.

Resumo executivo

IA

Uma vulnerabilidade crítica explorada ativamente atinge 3 de 4 projetos (5 repositórios e 1 imagem). Trocar para a imagem base corrigida e refazer o build resolve em todos. O risco se concentra em Commerce, com 218 das 410 vulnerabilidades abertas: é ali que corrigir rende primeiro.

Dockerfile

Correção sugerida
- FROM nginx:1.27+ FROM nginx:1.27.4COPY nginx.conf /etc/nginx/nginx.confCOPY dist/ /usr/share/nginx/html+ # CVE-2026-29011 (zlib): sem correção, monitorada no LeavoryEXPOSE 8080CMD ["nginx", "-g", "daemon off;"]

Sugestão gerada por IA: revise antes de aplicar.

Sobe a imagem base para nginx:1.27.4, que traz o libxml2 2.13.6 e fecha a CVE-2026-28114. Deixa uma nota para a CVE-2026-29011 (zlib), que ainda não tem correção publicada.

Sua chave de IA, seus termos de dados

A IA usa a sua chave de API: cada requisição vai para a sua conta, sob os termos que você já tem com o provedor. O Leavory não tem conta de IA compartilhada nem treina modelos com seus dados.

A IA é opcional

Sem chave, todo o resto do Leavory funciona igual: descoberta, scans, alertas, priorização e análise de impacto. Ligue a IA quando os seus times de segurança e jurídico estiverem prontos.

Correções do tamanho de um café

Sem sala de guerra, sem tirar um dev da sprint. A maioria das correções é só um code review: revise, aplique, siga.

O que muda quando o Leavory entra.

Do jeito de sempre Com o Leavory
Achados espalhados em relatórios, planilhas e caixas de e-mail Um lugar para cada projeto, repositório, pipeline e imagem
Milhares de CVEs, ordenadas só pelo CVSS Uma lista curta, ordenada por exploração ativa (CISA KEV) e EPSS
“Somos afetados?” respondido perguntando a cada time Cada projeto, repositório e imagem que uma CVE nova atinge, numa só visão
Imagens checadas só no build Imagens de produção reescaneadas 2x por dia, com alerta se uma piorar
Correções pesquisadas à mão, um achado de cada vez A IA rascunha a correção para o time revisar (opcional, sua chave de API)
Ferramentas que precisam acessar seu código Scans rodam na sua pipeline; só resultados e SBOMs vão ao Leavory

Veja o Leavory em ação.

Diga qual plataforma você usa, e um engenheiro (não um robô de vendas) chama você para uma demo.

Qual plataforma você usa?

Uma conversa de verdade com um engenheiro.