Caçador de vulnerabilidades · para vibe-coders
Uma caça real no seu app vibe-coded: testo o controle de acesso (RLS, IDOR), caço segredos expostos (service_role, JWT) e ataco injeção e endpoints ao vivo. No fim, um laudo com cada falha encontrada ficará disponível.
Todo scanner promete cobertura. Aqui a régua é a prova — só entra no laudo o que foi abatido.
Clono o repo numa sandbox temporária e uso o código como mapa: rotas, chaves e políticas de acesso.
Subo o app numa sandbox endurecida e ataco a instância em execução — como um invasor faria.
Nada vira CONFIRMED sem PoC reproduzível. Sem prova, não entra no laudo.
As falhas que derrubam app vibe-coded, com foco no controle de acesso — o ponto cego dos scanners genéricos.
RLS frouxa, IDOR, BOLA — o dado de um usuário na mão do outro.
service_role e JWT vazando no bundle que chega ao navegador.
SQL e comandos entrando por campos sem validação.
Buckets e arquivos públicos que deviam ser privados.
Rotas e funções de API sem autenticação, atacadas ao vivo.
CORS, headers e permissões que abrem a porta à toa.
A primeira caça do mês é por nossa conta. Quer o terreno sempre limpo? Assine.
Uma por mês, pra você ver a prova com os próprios olhos.
A caçada completa: todas as falhas provadas e o laudo inteiro.
O terreno vigiado: nova caça a cada mudança no código.
Só tem um jeito de descobrir: soltar o caçador.
Caçar vulnerabilidades