Leavory Security Gate · Grátis
O Trivy data a CVE. Nós a tornamos regra.
Um step de pipeline, grátis com conta Leavory, que lê o relatório do Trivy, preenche as datas que faltam e quebra o build quando uma CVE crítica ou alta está pública há mais tempo que o time aceita.
A lacuna
O Trivy sabe quando a CVE ficou pública. Nada barra o build por isso.
A data está no JSON do Trivy, mas não na tabela que o seu time lê, e nenhuma opção do Trivy quebra o build por causa dela: uma CVE crítica publicada ontem e outra publicada há dois meses passam do mesmo jeito. O Security Gate transforma o seu prazo de correção numa regra que a pipeline aplica, e uma imagem fora do prazo nunca chega ao registry.
Regra: CRITICAL > 7 dias, HIGH > 30 dias
3 acima do limite · 3 verificadas| Vulnerabilidade | Severidade | Instalada → corrigida | Publicada | Idade | Status |
|---|---|---|---|---|---|
| CVE-2026-47884spring-webmvc | Crítica | 6.2.19 → 7.0.9 | 2026-08-27NVD | 45 dias | Passou de 7 dias |
| CVE-2026-47890spring-webmvc | Crítica | 6.2.19 → 7.0.9 | 2026-08-27NVD | 45 dias | Passou de 7 dias |
| GHSA-qwww-vcr4-c8h2react-router | Alta | 7.18.1 → 8.3.0 | 2026-07-24GHSA | 79 dias | Passou de 30 dias |
Steps da pipeline
- Trivy Scan - ImageSucesso
- Leavory Security GateFalhou
- Publish Trivy ReportsSucesso
- Push image to registryPulado
##[error]CVE-2026-47884 CRITICAL in org.springframework:spring-webmvc 6.2.19: published 45 days ago (2026-08-27, NVD), limit 7 days; fixed in 7.0.9 ##[error]Bash exited with code '1'.
-
Todo achado com data
A data de publicação de cada CVE e GHSA, do NVD, CVE.org, GitHub Advisories e OSV, inclusive dos advisories que o Trivy traz sem data.
-
Seu prazo, sua regra
Defina a idade máxima de CRITICAL e HIGH. Quebre o build ou só avise enquanto o time se atualiza. Se quiser, conte só o que já tem correção.
-
Nada sai do seu agent
O step usa o token só para baixar as datas. Relatório do Trivy, nomes de imagem e código ficam no agent do build.
Configuração
Um step após o scan do Trivy.
O Security Gate é grátis com uma conta Leavory. Crie um token de acesso no hub e siga as instruções de lá para adicionar o step a qualquer pipeline que já roda o Trivy.
Cada conta tem dois tokens: compartilhe um por variable group e guarde o outro para a rotação.
Tokens para as suas pipelines
Cada token deixa a imagem
leavory/security-gate baixar a base de datas.
Tokens ativos
1 / 2
Mais 1 disponível
Chamadas hoje
12
Em todos os tokens
Limite diário
30 / token
Zera às 00:00 UTC
Vence antes
12 de jan.
azure-pipelines
Tokens
Só guardamos um prefixo. O valor completo aparece uma vez, ao criar o token.| Nome | Criado | Vence | Último uso | Hoje | Status |
|---|---|---|---|---|---|
| azure-pipelinessg_3f9a… | 14 de out. de 2026 | 12 de jan. de 2027 | há 2 horas | 12 / 30 | Ativo |
Os dados
Uma data por falha, de quatro fontes.
O Leavory junta as bases públicas de vulnerabilidades num só arquivo. Em cada ID, a primeira fonte que o tem dá a data. GitHub e OSV também casam aliases e IDs de distro: até CVE à espera do NVD ganha data.
IDs de CVE e GHSA
download compactado
fontes consolidadas
Ordem de prioridade
- 1NVD
- 2CVE.org
- 3GitHub Advisories
- 4OSV
Dados do NVD (domínio público), CVE.org, GitHub Advisory Database (CC-BY 4.0) e OSV (licença de cada fonte).
Perguntas
Quando o relógio começa a contar?
Na data de publicação da vulnerabilidade, não quando ela apareceu na sua imagem. A regra responde: essa falha é pública há mais de N dias e continua aqui?
E se uma vulnerabilidade não tiver data na base?
Ela aparece como “sem data na base” e nunca quebra o build. Ocorre com advisories recém-saídos e com IDs que não são CVE nem GHSA.
Como sei que a base não foi adulterada?
O step baixa
https://data.leavory.com/latest.json, um
manifesto assinado com uma chave do Leavory que nunca sai do
cofre, e confere a assinatura com a chave pública embutida.
Depois confere o sha256 da base. Dá para fazer qualquer
checagem falha parar o build.
Quão atualizados são os dados, e dá para fixar uma versão?
A base é refeita todo dia após a sincronização das fontes, e
de novo quando surgem vulnerabilidades novas no dia. Cada
publicação ganha uma versão com a data UTC e o número do dia:
20261012.1, 20261012.2 etc. O resumo
do build mostra a versão usada. Por padrão o step usa a mais
recente; fixe uma com
EXPOSURE_AGE_DB_VERSION para um build
reproduzível.
E se não der para baixar a base?
No template do Leavory, a checagem é pulada com um aviso e o build segue. O Security Gate nunca deve ser o motivo de uma pipeline parar.
Quer contar desde que a CVE surgiu na sua imagem, com histórico por repositório? Isso é o Leavory. Pedir uma demo
Veja o Leavory em ação.
Diga qual plataforma você usa, e um engenheiro (não um robô de vendas) chama você para uma demo.