هذا التقرير غير مترجم إلى اللغة المطلوبة. يتم عرض التقرير الإنجليزي الأساسي بدلاً منه.

تقييم أمني مُحدَّث بالإصدار

معرّف التقرير: SA-C0B894AA

6/28/2026, 11:55:01 AM

wp-plugin-development تقييم أمني v6

تقرير شهادة أمان المهارة

سجل التدقيق
نموذج التدقيق: codex تقرير تاريخي
اسم المهارة
wp-plugin-development
الإصدار
v6
المشرف
Automattic
المصدر
github.com/Automattic/agent-skills/tree/trunk/skills/wp-plugin-development
التغطية
8 الملفات التي تم فحصها · 380 الأسطر التي تم تحليلها
إصدار السياسة
غير متاح

أعلى مستوى خطورة لنتيجة مؤكدة

منخفض

يتطلب 1 اكتشاف أمني مؤكد اهتمامًا.

سياق التثبيت

الأدلة التاريخية

قد لا يصف هذا التقرير العنصر القابل للتثبيت حاليًا. افتح صفحة المهارة الحالية للحصول على إرشادات التثبيت.

افتح صفحة Skill الحالية

لا يحظر هذا التقرير البيان أو ملف ZIP ولا يصرح بهما.

Static analysis flagged many high and medium patterns, but review found they are mostly Markdown code spans, WordPress API names, documentation URLs, and regular-expression parsing. The only confirmed operational risk is a local Node.js helper that scans PHP files under the current working directory. No malicious intent, credential access, prompt injection, or data exfiltration evidence was found.

موضع التقرير

تقرير تاريخي

افتح سجل التدقيق قبل استخدام هذا التقرير للتثبيت.

إقرار التدقيق

غير قابل للتصديق

الربط الثابت المطلوب غير مكتمل.

التحقق البشري

لم يتم التحقق منه

لم يتم تسجيل أي تحقق بشري لهذا التقرير.

التغطية

8 الملفات التي تم فحصها · 380 الأسطر التي تم تحليلها

2 عناصر معروضة للمراجعة

القيود

لا يدّعي هذا التقرير تنفيذًا في وقت التشغيل أو ضمن بيئة معزولة، ولا يثبت عدم وجود آثار جانبية.

سلسلة الأدلة

اتبع الأدلة من ربط المصدر إلى عقد التثبيت. تدعم الأدلة المتاحة التحقق؛ لكنها ليست ضمانًا للسلامة.

  1. المصدر

    الربط غير متاح

  2. العنصر البرمجي

    الهوية غير مكتملة

  3. التدقيق

    مكتمل

  4. عقد التثبيت

    افتح البيان للتحقق

    افتح البيان

القدرات المرصودة

تعني «تمت ملاحظته» أن هذا التقرير سجل أدلة داعمة. ولا يثبت عدم التسجيل أن القدرة غير موجودة.

يحتوي على سكربتات

قد ينفذ تعليمات برمجية مضمنة مع المهارة.

لم يتم تسجيله بواسطة هذا التدقيق

الوصول إلى الشبكة

قد يتصل بخدمات خارجية.

لم يتم تسجيله بواسطة هذا التدقيق

الوصول إلى نظام الملفات

قد يقرأ أو يكتب ملفات محلية.

تمت ملاحظته في 3 مواضع أدلة

متغيرات البيئة

قد يقرأ قيماً من بيئة العملية.

لم يتم تسجيله بواسطة هذا التدقيق

الأوامر الخارجية

قد يستدعي أوامر أو برامج خارج المهارة.

لم يتم تسجيله بواسطة هذا التدقيق

عناصر مراجعة القدرات (1)
منخفض
scripts/detect_plugins.mjs:17scripts/detect_plugins.mjs:25scripts/detect_plugins.mjs:44scripts/detect_plugins.mjs:91-118
Local Filesystem Plugin Detection
The helper script recursively scans the current working directory and reads PHP files to detect WordPress plugin headers. This is legitimate for the skill purpose, bounded by maxFiles and maxDepth, and does not send data over the network. It still requires user awareness because it reads local project files and prints detected metadata.
The script directly uses fs.statSync, fs.readFileSync, and fs.readdirSync, then writes a local detection report to stdout. The behavior is clearly scoped to plugin discovery and shows no network exfiltration path.

نتائج المخاطر

يتم فصل المخاوف الأمنية المؤكدة عن العناصر التي لا تزال بحاجة إلى مراجعة.

مخاوف أمنية مؤكدة (1)

RISK-001 منخفض
SKILL.md:3-13SKILL.md:98-108references/data-and-cron.md:1references/lifecycle.md:28scripts/detect_plugins.mjs:73
Weak Cryptography Findings Are Scanner Noise
The weak-cryptography alerts do not correspond to cryptographic code. The flagged locations contain headings, WordPress compatibility text, SQL placeholder guidance, uninstall guardrails, or regular-expression construction for plugin header parsing.
Reviewed lines do not call MD5, SHA1, DES, RC4, or any cryptographic API. The alerts appear caused by substring matching in documentation and parser code.

أدلة الخبراء

هوية موضوع غير قابلة للتغيير، وبيانات تعريف الماسح الضوئي، والمطابقات المستبعدة، والأدلة على مستوى المصدر.

موضوع العنصر البرمجي

التزام Marketplace
غير متاح
تجزئة المحتوى
غير متاح
تجزئة الشجرة
غير متاح
مسار Skill
غير متاح
تجزئة حمولة التدقيق
غير متاح

البيانات الوصفية للتحليل

نموذج التدقيق: codex

حالة التحليل: مكتمل

النطاق محدود بالملفات والأسطر والأساليب والأدلة المسجلة. لا يُدّعى تنفيذ وقت التشغيل أو بيئة الاختبار المعزولة.

تم تجاهل الإيجابيات الكاذبة الثابتة (2)
منخفض
SKILL.md:31-33SKILL.md:64-77references/data-and-cron.md:17-18references/debugging.md:6-16references/lifecycle.md:7-28references/security.md:8-24references/settings-api.md:7-21scripts/detect_plugins.mjs:81scripts/detect_plugins.mjs:118
Static External Command Findings Are False Positives
The reported command-execution locations are Markdown inline code examples, WordPress function names, superglobal names, or JavaScript regular-expression code. No child process execution, shell invocation, Ruby backtick execution, or dynamic command construction was found in the reviewed files.
Manual review confirms these lines are documentation snippets or safe JavaScript string and regex operations. There is no import or use of child_process and no shell metacharacter execution path.
منخفض
references/lifecycle.md:17references/lifecycle.md:32references/security.md:12references/security.md:28references/settings-api.md:13-15references/structure.md:15
Documentation URLs Are Benign References
Hardcoded URL findings point to official WordPress developer documentation pages used as references. They are not runtime fetches and do not transmit user data.
Each URL appears in Markdown reference material, not executable code. No HTTP client code or automatic network access is present in these files.

التحقق والتصدير

تقرير JSON CITATION.cff SARIF 2.1.0 بيان تثبيت موقّع

يربط البيان وملف القفل عناصر التثبيت بتجزئات تشفيرية. هذا الادعاء المتعلق بالسلامة منفصل عن التقييم الأمني.

إقرار التدقيق: not_attestable