Vendored code: o ponto cego mais burro do SCA
SCA só enxerga CVE conhecido em dependência declarada. Colar o fonte da lib dentro do seu código some do radar — e por que SBOM gerado do filesystem fecha esse buraco.
$ cat ~/blog/sobre.txt
Atacando o pipeline
Write-ups de DevSecOps ofensivo. Cada post é a mesma dupla: o ataque que mora num ponto cego e a regra que fecha ele. SCA, supply chain, secrets em CI, pivô pra cloud.