Essa versão foi focada em matar falsos positivos na raiz e endurecer as regras de confirmação de vulnerabilidades — mais de 60 correções no total.
Principais frentes:
Novidades: cobertura de CVEs recentes (Angular SSR, React RSC, Next.js), isolamento melhor de escopo em ambientes multi-tenant (Vercel, Cloudflare, etc.), e probes mutativas agora são detect-only por padrão (só rodam de verdade com flag explícita).
Motor de confirmação ("Hades") mais rigoroso: parou de confirmar achados por coincidência — agora exige evidência tipada, marcador real de segredo, e não deixa mais erro de infraestrutura mascarar SSRF real.
Detecção mais precisa: SQLi, XSS, LFI, CORS e JWT tiveram seus critérios de "vulnerável" apertados — cada um agora exige prova concreta em vez de heurística fraca.
Validator mais conservador: achados sem replay confirmando viram MANUAL_REQUIRED em vez de CONFIRMED.
Estabilidade: correções de crashes que geravam findings fantasmas (crawler, timeout, dedup de CVE).