🛡️ Pompelmi: приватный сканер файлов для Node.js
В веб-приложениях одна из самых уязвимых точек - это загрузка файлов пользователями: изображения, документы, архивы, PDF и т.д. и т.п.. Если файлы не фильтровать, вы рискуете столкнуться с вредоносами и эксплоитами.
Данную проблему пытается решить pompelmi.
🤔 Что такое pompelmi?
pompelmi - это open-source file-scanner для Node.js, написанный на TypeScript. Проект делает упор на безопасность и простую интеграцию в серверные приложения.
Ключевые особенности:
🔍 проверка файлов до сохранения в файловой системе
⚡ минималистичная и быстрая реализация
🔒 полностью локальная работа, без облачных вызовов
🔌 адаптеры для популярных веб-фреймворков
🧱 Основные возможности pompelmi
✅ Сканирование до записи на диск
Главная идея проверять файл как можно раньше, прежде чем он окажется в файловой системе. Это снижает риск эксплуатации уязвимостей файловых парсеров и вспомогательных библиотек.
🔍 Безопасная обработка архивов
- pompelmi умеет:
безопасно обходить архивы с ограничением глубины;
- предотвращать zip-bomb-атаки;
- анализировать вложенные и рекурсивные структуры.
🧠 Гибкая система сканеров
Встроенные эвристики позволяют выявлять:
➖риски в PDF (включая встроенный JavaScript);
➖опасные Office-макросы;
➖признаки PE-бинарей в загружаемых файлах.
Также поддерживается подключение собственных сигнатур, включая правила YARA.
🧩 Интеграция с фреймворками
pompelmi можно встроить в популярные серверные фреймворки Node.js на уровне middleware:
Express - https://expressjs.com
Koa - https://koajs.com
Next.js - https://nextjs.org
Fastify (alpha-поддержка) - https://www.fastify.io
Это позволяет проверять файлы непосредственно на входе в приложение и блокировать подозрительные загрузки до их обработки бизнес-логикой.
📈 Практическая польза
🔹 уменьшает риск попадания вредоносных файлов в инфраструктуру
🔹 хорошо подходит как первая линия защиты для upload-эндпоинтов
🔹 не требует внешних сервисов и передачи данных третьим лицам
Pompelmi не позиционируется как замена полноценного антивируса, но отлично закрывает начальный уровень защиты файловых загрузок.
📌 Итог
Если вы разрабатываете API с возможностью загрузки файлов или веб-приложения с пользовательскими upload-формами, то pompelmi выглядит как разумный инструмент для усиления AppSec без избыточной сложности.
🔗 GitHub: https://github.com/pompelmi/pompelmi
Stay secure and read SecureTechTalks 📚
#SecureTechTalks #CyberSecurity #DevSecOps #NodeJS #FileUploadSecurity #MalwareScanning #YARA #ZipBombProtection #AppSec #WebSecurity
