المهارات Microsoft Graph API
📦
Microsoft Graph API
v0.3.0 مراجعة المحتوى r1 مخاطر عالية 🌐 الوصول إلى الشبكة⚙️ الأوامر الخارجية📁 الوصول إلى نظام الملفات🔑 متغيرات البيئة
إدارة بريد Outlook والتقويم
غالبا ما تحتاج مهام البريد والتقويم في Microsoft 365 إلى استدعاءات Graph API مصادق عليها. توفر هذه المهارة scripts لقراءة الرسائل، وإرسال البريد، وسرد الأحداث، وإنشاء إدخالات التقويم.
يدعم: Claude Codex Code(CC)
توقف واطلب التأكيد قبل التثبيت.
راجع الخطة واحصل على موافقة صريحة من المستخدم قبل تغيير الملفات.
التثبيت باستخدام Agent لدي
انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.
طلب الوكيل
Review the Skillstore skill "Microsoft Graph API" from https://skillstore.io/skills/bltgv-microsoft-graph-api.md and its manifest at https://skillstore.io/api/skills/bltgv-microsoft-graph-api/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.
موارد مهيّأة لـ Agents
استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.
اختبرها
جارٍ استخدام "Microsoft Graph API". اعرض رسائل صندوق الوارد غير المقروءة لدي.
النتيجة المتوقعة:
قائمة موجزة بالرسائل غير المقروءة تتضمن المرسل والموضوع ووقت الاستلام وحالة القراءة ومعاينة النص.
جارٍ استخدام "Microsoft Graph API". ما الاجتماعات الموجودة لدي هذا الأسبوع؟
النتيجة المتوقعة:
جدول أعمال زمني يتضمن عناوين الأحداث وأوقات البدء والانتهاء والمواقع والمنظمين وحالة الحضور عند توفرها.
جارٍ استخدام "Microsoft Graph API". أرسل رسالة متابعة إلى فريق المشروع.
النتيجة المتوقعة:
طلب تأكيد يعرض المستلمين والموضوع ونص الرسالة قبل إرسال البريد الإلكتروني.
التدقيق الأمني
مخاطر عاليةv9 • ١٩/٧/٢٠٢٦ فتح التقرير المرتبط بالإصدار
Most static alerts are false positives caused by TypeScript template literals, Markdown backticks, example identifiers, and official Microsoft URLs. Confirmed risks include OAuth network operations, immediate email sending, and plaintext credential storage. Semantic review also found weak secret-file permissions, indirect prompt-injection exposure, and unconfirmed calendar creation.
11
الملفات التي تم فحصها
2,369
الأسطر التي تم تحليلها
9
عناصر المراجعة
0
تم تجاهل الإيجابيات الكاذبة
مخاوف أمنية مؤكدة (4)
مرتفع
Credential JSON file
const CREDENTIALS_FILE = join(CONFIG_DIR, "credentials.json");
This path is used to persist Microsoft Graph access and refresh tokens as plaintext JSON. Disclosure of the file can grant delegated mailbox and calendar access.
مرتفع
OAuth Secret Files Lack Restrictive Permissions
Credential and pending-auth files contain tokens or device codes. The write operations do not set restrictive modes, so other local users may read them.
Both functions write sensitive JSON with writeFile and no mode option. Default permissions depend on umask and can permit local disclosure.
مرتفع
Indirect Prompt Injection Exposure
Email bodies and calendar text are returned directly to the agent. Malicious content may influence later email or calendar actions without an untrusted-data boundary.
The scripts return externally controlled message bodies and event fields verbatim. The skill instructions provide no rule to treat retrieved content only as data.
متوسط
Calendar Creation Has No Confirmation Gate
The create command posts events and attendee invitations immediately. The skill does not require a final user review of subject, time, or recipients.
The create branch validates required fields and posts immediately. The usage instructions show direct create commands without a confirmation step.
عناصر مراجعة القدرات (9)
هذه قدرات محلية حقيقية قد يُتوقع وجودها لهذه المهارة، لذا فهي تتطلب مراجعة ولكن لا تُحتسب كسلوك خبيث مؤكد.
مرتفع
Email sending capability
await graphPost(token, "/me/sendMail", { message });
This call sends a message through the authenticated mailbox immediately. The script has no recipient preview or explicit confirmation gate before the external side effect.
منخفض
Fetch API call
const response = await fetch(url, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
منخفض
Fetch API call
const response = await fetch(url, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
منخفض
Fetch API call
const response = await fetch(url, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
منخفض
Fetch API call
const response = await fetch(url, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
منخفض
Fetch API call
const response = await fetch(url, {
The fetch performs OAuth device-code, token, or refresh exchanges with Microsoft identity endpoints. This is expected, but it transmits authentication material over the network.
منخفض
Fetch API call
const response = await fetch(url, {
The fetch performs OAuth device-code, token, or refresh exchanges with Microsoft identity endpoints. This is expected, but it transmits authentication material over the network.
منخفض
Fetch API call
const response = await fetch(url, {
The fetch performs OAuth device-code, token, or refresh exchanges with Microsoft identity endpoints. This is expected, but it transmits authentication material over the network.
منخفض
Fetch API call
const response = await fetch(`https://graph.microsoft.com/v1.0${endpoint}`, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
عوامل الخطر
🌐 الوصول إلى الشبكة (25)
references/graph-api.md:241 scripts/auth.ts:77 scripts/auth.ts:83 scripts/auth.ts:171 scripts/calendar.ts:125 scripts/calendar.ts:143 scripts/calendar.ts:123 scripts/calendar.ts:141 scripts/emails.ts:122 scripts/emails.ts:140 scripts/emails.ts:120 scripts/emails.ts:138 scripts/emails.ts:325 scripts/lib/device-code.ts:45 scripts/lib/device-code.ts:87 scripts/lib/device-code.ts:152 scripts/lib/device-code.ts:38 scripts/lib/device-code.ts:78 scripts/lib/device-code.ts:142 scripts/lib/graph-client.ts:155 scripts/lib/graph-client.ts:62 scripts/lib/graph-client.ts:155 SKILL.md:33 SKILL.md:42 SKILL.md:55
⚙️ الأوامر الخارجية (50)
scripts/auth.ts:57-104 scripts/auth.ts:120 scripts/auth.ts:121 scripts/auth.ts:122 scripts/auth.ts:124 scripts/auth.ts:127 scripts/auth.ts:129 scripts/auth.ts:140 scripts/auth.ts:142 scripts/auth.ts:155 scripts/auth.ts:156 scripts/auth.ts:158 scripts/auth.ts:160 scripts/auth.ts:163 scripts/auth.ts:165 scripts/auth.ts:171 scripts/auth.ts:178 scripts/auth.ts:179 scripts/auth.ts:180 scripts/auth.ts:181 scripts/auth.ts:199 scripts/auth.ts:200 scripts/auth.ts:201 scripts/calendar.ts:66-113 scripts/calendar.ts:123 scripts/calendar.ts:127 scripts/calendar.ts:134 scripts/calendar.ts:141 scripts/calendar.ts:146 scripts/calendar.ts:154 scripts/calendar.ts:287 scripts/calendar.ts:305 scripts/calendar.ts:325 scripts/calendar.ts:410 scripts/emails.ts:65-110 scripts/emails.ts:120 scripts/emails.ts:124 scripts/emails.ts:131 scripts/emails.ts:138 scripts/emails.ts:143 scripts/emails.ts:151 scripts/emails.ts:198 scripts/emails.ts:224 scripts/emails.ts:252 scripts/emails.ts:273 scripts/emails.ts:339 scripts/lib/auth-handler.ts:66-79 scripts/lib/auth-handler.ts:79-194 scripts/lib/device-code.ts:38 scripts/lib/device-code.ts:55
📁 الوصول إلى نظام الملفات (3)
🔑 متغيرات البيئة (2)
دقّقه: codex عرض سجل التدقيق →
شارك واستشهد بهذا التقرير
شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.
نسخ رابط التقرير
https://skillstore.io/skills/bltgv-microsoft-graph-api/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportشارة Markdown
[](https://skillstore.io/skills/bltgv-microsoft-graph-api?utm_source=security_passport_badge)شارة HTML
<a href="https://skillstore.io/skills/bltgv-microsoft-graph-api?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/bltgv-microsoft-graph-api/security.svg" alt="Skillstore security assessment" loading="lazy"></a>بطاقة قابلة للتضمين
<iframe src="https://skillstore.io/embed/skills/bltgv-microsoft-graph-api.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>الاستشهادات الأكاديمية (APA · BibTeX · CFF)
اقتباس APA
BLTGV. (2026). Microsoft Graph API security audit report (audit version 9) [Author version 0.3.0]. Skillstore. https://skillstore.io/skills/bltgv-microsoft-graph-api/audits/9اقتباس BibTeX
@techreport{bltgv-bltgv-microsoft-graph-api-2026,
author = {BLTGV},
title = {Microsoft Graph API security audit report (audit version 9)},
institution = {Skillstore},
year = {2026},
number = {9},
url = {https://skillstore.io/skills/bltgv-microsoft-graph-api/audits/9},
note = {Author version 0.3.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "Microsoft Graph API security audit report (audit version 9)"
version: "0.3.0"
type: report
authors:
- name: "BLTGV"
date-released: "2026-07-19"
url: "https://skillstore.io/skills/bltgv-microsoft-graph-api/audits/9"
identifiers:
- type: other
value: "skillstore:bltgv-microsoft-graph-api:audit:9"
description: "Skillstore immutable audit report identifier"
تقييم Skillstore
سبب هذا التقييم موثوقية الأدلة: متوسط 64
الهندسة المعمارية
100
قابلية الصيانة
87
المحتوى
71
المجتمع
74
الامتثال للمواصفات
ما الذي يمكنك بناؤه
مراجعة البريد الحديث
تلخيص رسائل Outlook الحديثة، والبحث عن المرسلين المهمين، وفتح محتوى بريد إلكتروني محدد عند الحاجة.
إدارة الجدول اليومي
التحقق من اليوم أو هذا الأسبوع أو نطاق تاريخ مخصص لأحداث تقويم Microsoft 365.
أتمتة سير عمل Graph
استخدام scripts مصادق عليها لإرسال الرسائل أو إنشاء الاجتماعات من سير عمل وكيل.
جرّب هذه الموجّهات
سرد أحدث رسائل صندوق الوارد
اعرض أحدث 10 رسائل في صندوق وارد Outlook لدي مع المرسل والموضوع ووقت الاستلام ومعاينة قصيرة.
البحث عن الرسائل حسب الموضوع
ابحث في بريد Outlook لدي عن رسائل حول [topic] من الأسبوع الماضي. لخص المواضيع والمرسلين المطابقين.
تخطيط حدث تقويم
أنشئ حدث تقويم لـ [meeting name] في [date and time] مع [attendees]. أكد معي كل التفاصيل قبل إنشائه.
تنسيق البريد والتقويم
ابحث عن رسائل بريد إلكتروني من [person] حول [project]، وحدد أي أوقات اجتماعات مقترحة، وصغ حدث تقويم للموافقة عليه.
أفضل الممارسات
- أكد المستلم والموضوع والنص مع المستخدم قبل إرسال البريد الإلكتروني.
- استخدم ملفات تعريف منفصلة لحسابات العمل والحسابات الشخصية.
- اطلب أصغر نطاق بيانات مطلوب عند قراءة الرسائل أو الأحداث.
تجنب
- لا ترسل بريدا إلكترونيا أو تنشئ أحداثا دون موافقة صريحة من المستخدم.
- لا تطلب بيانات صندوق بريد واسعة عندما يكون بحث محدد كافيا.
- لا تخزن رموز الحسابات المشتركة أو حسابات الخدمة في ملف تعريف مستخدم.
الأسئلة المتكررة
ما خدمات Microsoft التي تصل إليها هذه المهارة؟
تصل إلى بريد Outlook وبيانات تقويم Microsoft 365 عبر Microsoft Graph.
هل تتطلب مصادقة؟
نعم. تستخدم مصادقة رمز الجهاز من Microsoft وتخزن الرمز الناتج محليا.
هل يمكنها إرسال بريد إلكتروني؟
نعم. يمكنها إرسال البريد الإلكتروني عندما يمنح الحساب المسجل دخوله إذن Mail.Send.
هل يمكنها إنشاء أحداث تقويم؟
نعم. يمكنها إنشاء أحداث عندما يمنح الحساب المسجل دخوله أذونات كتابة التقويم.
أين يتم تخزين بيانات الاعتماد؟
تخزن scripts بيانات اعتماد OAuth في ملف JSON ضمن دليل تكوين المستخدم.
هل تتعامل تلقائيا مع مجموعات النتائج الكبيرة؟
لا. تحد النتائج باستخدام قيم top ولا تطبق ترقيم الصفحات بالكامل.