المهارات sca-blackduck
📦
sca-blackduck
v0.1.0 مراجعة المحتوى r2 حرج 📁 الوصول إلى نظام الملفات⚙️ الأوامر الخارجية🌐 الوصول إلى الشبكة🔑 متغيرات البيئة⚡ يحتوي على سكربتات
فحص التبعيات باستخدام Black Duck
يمكن أن تؤدي مخاطر تبعيات المصادر المفتوحة إلى إبطاء الإصدارات الآمنة. ترشد هذه المهارة إلى فحوصات Black Duck، ومراجعة التراخيص، وإنشاء SBOM، وتكامل CI، وتخطيط المعالجة.
يدعم: Claude Codex Code(CC)
لا تثبّت هذا Skill تلقائيًا.
تتطلب السياسة المعتمدة مراجعة المشغّل قبل أي إجراء تثبيت.
التثبيت باستخدام Agent لدي
انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.
طلب الوكيل
Review the Skillstore skill "sca-blackduck" from https://skillstore.io/skills/agentsecops-sca-blackduck.md and its manifest at https://skillstore.io/api/skills/agentsecops-sca-blackduck/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.
موارد مهيّأة لـ Agents
استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.
اختبرها
جارٍ استخدام "sca-blackduck". تحتوي خدمة على CVEs حرجة، ومخاطر ترخيص غير معروفة، ولا توجد عملية SBOM.
النتيجة المتوقعة:
- قائمة ثغرات مرتبة حسب الأولوية مع الإصلاحات الفورية أولاً.
- قائمة انتظار لمراجعة التراخيص للحصول على موافقة قانونية أو موافقة السياسة.
- خطة إنشاء SBOM لأدلة الإصدار.
- معايير فحص متابعة لتأكيد الإغلاق.
جارٍ استخدام "sca-blackduck". يريد فريق إضافة فحوصات Black Duck إلى طلبات السحب.
النتيجة المتوقعة:
- مخطط مهمة CI مع مراجع آمنة للأسرار.
- عتبات سياسة لحظر التغييرات عالية المخاطر.
- توصيات الاحتفاظ بالمصنوعات والتقارير.
- تنسيق تعليق للمطورين يتيح فرزاً قابلاً للتنفيذ.
جارٍ استخدام "sca-blackduck". يتضمن إصدار منتج مكونات جديدة مفتوحة المصدر.
النتيجة المتوقعة:
- خطوات مراجعة مخزون التبعيات.
- ملاحظات توافق التراخيص للحزم عالية المخاطر.
- فحوصات صحة سلسلة التوريد للمشرفين والنشاط.
التدقيق الأمني
حرجv9 • ٢٣/٧/٢٠٢٦ فتح التقرير المرتبط بالإصدار
Most static alerts are false positives caused by Markdown examples, reference URLs, configuration exclusions, and legitimate environment access. Confirmed findings involve unverified remote scripts executed by CI templates and user instructions. Additional review found mutable GitHub Action tags, unsafe Jenkins interpolation, and a pull request comment that reports fixed zero findings.
15
الملفات التي تم فحصها
4,881
الأسطر التي تم تحليلها
13
عناصر المراجعة
0
تم تجاهل الإيجابيات الكاذبة
مخاوف أمنية مؤكدة (5)
حرج
Pipe to shell pattern
curl -s -L https://detect.synopsys.com/detect.sh | bash -- \
The CI template pipes a mutable network response directly into Bash without a pinned version or integrity check. A compromised upstream response would execute with runner privileges.
حرج
Pipe to shell pattern
curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash
The CI template pipes a mutable network response directly into Bash without a pinned version or integrity check. A compromised upstream response would execute with runner privileges.
مرتفع
Misleading fixed security results
The GitHub workflow posts zero vulnerability counts and no license violations without parsing results, which can mislead reviewers.
The comment body contains fixed zero counts and an unconditional no-violations statement. Nearby comments acknowledge that actual results are not parsed.
مرتفع
assets/ci_integration/jenkins_pipeline.groovy:32-34assets/ci_integration/jenkins_pipeline.groovy:89-99assets/ci_integration/jenkins_pipeline.groovy:142-151
Jenkins shell injection and secret exposure
Groovy interpolates branch-derived values and Black Duck credentials into shell strings before execution, enabling command injection and exposing secrets in process arguments.
The double-quoted Groovy strings interpolate BRANCH_NAME-derived project data and BLACKDUCK_TOKEN into commands later passed to sh. No argument-safe execution boundary is used.
متوسط
assets/ci_integration/github_actions.yml:31assets/ci_integration/github_actions.yml:39assets/ci_integration/github_actions.yml:57assets/ci_integration/github_actions.yml:81assets/ci_integration/github_actions.yml:101assets/ci_integration/github_actions.yml:143assets/ci_integration/github_actions.yml:148
Mutable GitHub Action references
GitHub Actions use mutable major-version tags, allowing upstream changes to execute with repository and token permissions.
Each uses statement ends in a mutable tag such as v1, v3, v4, or v7 rather than an immutable commit SHA.
عناصر مراجعة القدرات (13)
هذه قدرات محلية حقيقية قد يُتوقع وجودها لهذه المهارة، لذا فهي تتطلب مراجعة ولكن لا تُحتسب كسلوك خبيث مؤكد.
مرتفع
Hardcoded URL
curl -s -L https://detect.synopsys.com/detect.sh | bash -- \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
مرتفع
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
مرتفع
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
مرتفع
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
مرتفع
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
مرتفع
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
مرتفع
Hardcoded URL
curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
مرتفع
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
مرتفع
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
مرتفع
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
مرتفع
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
مرتفع
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
مرتفع
Hardcoded URL
bash <(curl -s -L https://detect.synopsys.com/detect.sh) \
This URL supplies a script that is executed immediately without version pinning or integrity verification. A compromised response would execute with CI or user privileges.
عوامل الخطر
📁 الوصول إلى نظام الملفات (6)
⚙️ الأوامر الخارجية (50)
assets/ci_integration/github_actions.yml:110 assets/ci_integration/github_actions.yml:111 assets/ci_integration/github_actions.yml:92 assets/ci_integration/gitlab_ci.yml:121 assets/ci_integration/gitlab_ci.yml:151 assets/ci-config-template.yml:298 assets/ci-config-template.yml:301 assets/ci-config-template.yml:304 assets/ci-config-template.yml:307 assets/ci-config-template.yml:310 assets/ci-config-template.yml:134 assets/ci-config-template.yml:250 assets/ci-config-template.yml:291 references/supply_chain_threats.md:199 references/supply_chain_threats.md:204 references/supply_chain_threats.md:205 references/supply_chain_threats.md:200 references/supply_chain_threats.md:532 references/supply_chain_threats.md:205 references/supply_chain_threats.md:286 references/supply_chain_threats.md:335 references/supply_chain_threats.md:513 SKILL.md:40-47 SKILL.md:47-51 SKILL.md:51-57 SKILL.md:57-65 SKILL.md:65-79 SKILL.md:79-97 SKILL.md:97-151 SKILL.md:151-152 SKILL.md:152-153 SKILL.md:153-154 SKILL.md:154-158 SKILL.md:158-159 SKILL.md:159-160 SKILL.md:160-161 SKILL.md:161-165 SKILL.md:165-166 SKILL.md:166-167 SKILL.md:167-168 SKILL.md:168-169 SKILL.md:169-175 SKILL.md:175-183 SKILL.md:183-187 SKILL.md:187-194 SKILL.md:194-198 SKILL.md:198-205 SKILL.md:205-209 SKILL.md:209-216 SKILL.md:216-220
🌐 الوصول إلى الشبكة (50)
assets/ci_integration/github_actions.yml:70 assets/ci_integration/gitlab_ci.yml:30 assets/ci_integration/gitlab_ci.yml:85 assets/ci_integration/gitlab_ci.yml:181 assets/ci_integration/jenkins_pipeline.groovy:90 assets/ci_integration/jenkins_pipeline.groovy:143 assets/ci-config-template.yml:240 assets/policy_templates/security_policy.json:2 assets/rule-template.yaml:43 assets/rule-template.yaml:44 assets/rule-template.yaml:45 assets/rule-template.yaml:73 assets/rule-template.yaml:118 assets/rule-template.yaml:119 assets/rule-template.yaml:151 assets/rule-template.yaml:191 assets/rule-template.yaml:192 assets/rule-template.yaml:193 assets/rule-template.yaml:217 assets/rule-template.yaml:260 assets/rule-template.yaml:261 assets/rule-template.yaml:288 references/license_risk_guide.md:361 references/remediation_strategies.md:209 references/remediation_strategies.md:301 references/remediation_strategies.md:302 references/supply_chain_threats.md:193 references/supply_chain_threats.md:62 references/supply_chain_threats.md:65 references/supply_chain_threats.md:66 references/supply_chain_threats.md:69 references/supply_chain_threats.md:75 references/supply_chain_threats.md:193 references/supply_chain_threats.md:200 references/supply_chain_threats.md:388 references/supply_chain_threats.md:412 references/supply_chain_threats.md:413 references/supply_chain_threats.md:518 SKILL.md:21 SKILL.md:22 SKILL.md:23 SKILL.md:24 SKILL.md:42 SKILL.md:53 SKILL.md:189 SKILL.md:280 SKILL.md:293 SKILL.md:299 SKILL.md:385 SKILL.md:386
🔑 متغيرات البيئة (37)
assets/ci_integration/github_actions.yml:110 assets/ci_integration/github_actions.yml:111 assets/ci_integration/github_actions.yml:110 assets/ci_integration/github_actions.yml:111 assets/ci_integration/github_actions.yml:41 assets/ci_integration/github_actions.yml:103 assets/ci-config-template.yml:164 assets/rule-template.yaml:148 assets/rule-template.yaml:148 assets/rule-template.yaml:147 assets/rule-template.yaml:162 assets/rule-template.yaml:132 assets/rule-template.yaml:147 assets/rule-template.yaml:148 assets/rule-template.yaml:156 assets/rule-template.yaml:157 assets/rule-template.yaml:162 assets/rule-template.yaml:163 assets/rule-template.yaml:164 assets/rule-template.yaml:165 references/EXAMPLE.md:423 references/EXAMPLE.md:423 references/EXAMPLE.md:424 references/EXAMPLE.md:425 references/EXAMPLE.md:427 references/EXAMPLE.md:430 references/EXAMPLE.md:432 references/EXAMPLE.md:437 references/EXAMPLE.md:444 references/supply_chain_threats.md:189 references/supply_chain_threats.md:190 references/supply_chain_threats.md:191 references/supply_chain_threats.md:189 references/supply_chain_threats.md:190 references/supply_chain_threats.md:191 references/supply_chain_threats.md:190 references/supply_chain_threats.md:191
الأنماط المكتشفة
Pipe to shell pattern×2
دقّقه: codex عرض سجل التدقيق →
شارك واستشهد بهذا التقرير
شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.
نسخ رابط التقرير
https://skillstore.io/skills/agentsecops-sca-blackduck/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportشارة Markdown
[](https://skillstore.io/skills/agentsecops-sca-blackduck?utm_source=security_passport_badge)شارة HTML
<a href="https://skillstore.io/skills/agentsecops-sca-blackduck?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-sca-blackduck/security.svg" alt="Skillstore security assessment" loading="lazy"></a>بطاقة قابلة للتضمين
<iframe src="https://skillstore.io/embed/skills/agentsecops-sca-blackduck.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>الاستشهادات الأكاديمية (APA · BibTeX · CFF)
اقتباس APA
AgentSecOps. (2026). sca-blackduck security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-sca-blackduck/audits/9اقتباس BibTeX
@techreport{agentsecops-agentsecops-sca-blackduck-2026,
author = {AgentSecOps},
title = {sca-blackduck security audit report (audit version 9)},
institution = {Skillstore},
year = {2026},
number = {9},
url = {https://skillstore.io/skills/agentsecops-sca-blackduck/audits/9},
note = {Author version 0.1.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "sca-blackduck security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
- name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-sca-blackduck/audits/9"
identifiers:
- type: other
value: "skillstore:agentsecops-sca-blackduck:audit:9"
description: "Skillstore immutable audit report identifier"
تقييم Skillstore
سبب هذا التقييم موثوقية الأدلة: متوسط 59
الهندسة المعمارية
100
قابلية الصيانة
87
المحتوى
71
المجتمع
91
الامتثال للمواصفات
ما الذي يمكنك بناؤه
فرز ثغرات التبعيات
راجع نتائج Black Duck، واربط CVEs بفئات المخاطر، وحدد أولويات الإصلاحات لتبعيات التطبيقات الحرجة.
إضافة SCA إلى CI
كيّف قوالب CI لتشغيل فحوصات Black Duck، ونشر المصنوعات، وإيقاف عمليات البناء عند انتهاكات السياسة.
تقييم مخاطر التراخيص
استخدم إرشادات التراخيص وأمثلة السياسات لتصنيف التبعيات قبل الموافقة على الإصدار.
جرّب هذه الموجّهات
بدء خطة فحص
ساعدني في تخطيط فحص Black Duck SCA لهذا المستودع. حدد مديري الحزم، والأسرار المطلوبة، ونطاق الفحص، والمخرجات المتوقعة.
مراجعة نتائج الفحص
راجع نتائج Black Duck هذه. رتب الثغرات حسب الأولوية بناءً على الخطورة، وقابلية الاستغلال، ودور الحزمة، والإصدارات المصححة المتاحة.
تصميم إنفاذ CI
أنشئ خطة إنفاذ CI لـ Black Duck. تضمّن التعامل مع الأسرار، ومصنوعات التقارير، وعتبات الفشل، وملاحظات المطورين.
بناء خارطة طريق للمعالجة
أنشئ خارطة طريق للمعالجة من نتائج SCA والتراخيص هذه. اجمع الإصلاحات حسب التبعية، والمالك، والمخاطر، والجدول الزمني، وخطوة التحقق.
أفضل الممارسات
- خزّن بيانات اعتماد Black Duck في أسرار CI أو في مدير أسرار مخصص.
- ثبّت مصادر أدوات التثبيت أو تحقق من الأدوات التي تم تنزيلها قبل التنفيذ.
- وثّق المخاطر المقبولة مع المالك، والسبب، وتاريخ الانتهاء، والضوابط التعويضية.
تجنب
- تشغيل نصوص أدوات تثبيت بعيدة دون تثبيت المصدر أو التحقق من checksum.
- التعامل مع كل CVE على أنها متساوية دون سياق قابلية الاستغلال أو وقت التشغيل.
- الموافقة على تراخيص copyleft دون مراجعة الأثر القانوني وأثر المنتج.
الأسئلة المتكررة
هل تشغل هذه المهارة فحوصات Black Duck تلقائياً؟
لا. توفر إرشادات وأمثلة وقوالب. يجب على المستخدم أو الوكيل تنفيذ أوامر الفحص.
ما بيانات الاعتماد المطلوبة؟
تحتاج معظم سير العمل إلى عنوان URL لـ Black Duck ورمز API مخزن كأسرار محمية.
هل يمكنها المساعدة في الامتثال للتراخيص؟
نعم. تتضمن إرشادات لمخاطر التراخيص، وأمثلة سياسات، وسير عمل مراجعة للتراخيص عالية المخاطر.
هل تحل محل المراجعة القانونية؟
لا. تدعم الفرز والتوثيق، لكن يجب أن يقرر المستشار القانوني الالتزامات الجوهرية المتعلقة بالتراخيص.
ما أنظمة CI المشمولة؟
تتضمن الأصول أمثلة لمسارات GitHub Actions وGitLab CI وJenkins.
ما المخرجات التي ينبغي أن تتوقعها الفرق؟
تشمل المخرجات النموذجية أولويات الثغرات، وملاحظات مخاطر التراخيص، وإرشادات SBOM، وخطوات المعالجة.
تفاصيل المطور
المؤلف
AgentSecOpsالترخيص
MIT
إصدار المؤلف
v0.1.0
مراجعة Skillstore
r2
مرجع
181fdefcafd96b041926e61c4b2e306ca7e7820e
حداثة الصيانة
٢٨/٧/٢٠٢٦
الاستخدام
7 تنزيلات · 261 مشاهدات