المهارات zentao-api
📦
zentao-api
v1.0.4 مراجعة المحتوى r1 مخاطر عالية ⚙️ الأوامر الخارجية📁 الوصول إلى نظام الملفات🌐 الوصول إلى الشبكة
إدارة مشاريع ZenTao عبر API
تحتاج الفرق إلى وصول سريع إلى عناصر عمل ZenTao دون إنشاء طلبات API يدويًا. تربط هذه المهارة طلبات اللغة الطبيعية باستدعاءات ZenTao REST API v2.0.
يدعم: Claude Codex Code(CC)
توقف واطلب التأكيد قبل التثبيت.
راجع الخطة واحصل على موافقة صريحة من المستخدم قبل تغيير الملفات.
التثبيت باستخدام Agent لدي
انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.
طلب الوكيل
Review the Skillstore skill "zentao-api" from https://skillstore.io/skills/easysoft-zentao-api.md and its manifest at https://skillstore.io/api/skills/easysoft-zentao-api/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.
موارد مهيّأة لـ Agents
استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.
اختبرها
جارٍ استخدام "zentao-api". اعرض المشاريع النشطة وعمليات التنفيذ الخاصة بها.
النتيجة المتوقعة:
قائمة موجزة بالمشاريع تتضمن المعرفات وأسماء عمليات التنفيذ النشطة والحالة والمالكين واقتراحات البحث التالية.
جارٍ استخدام "zentao-api". أنشئ خطأ حرجًا للمنتج 12.
النتيجة المتوقعة:
ملخص تأكيد يعرض المنتج المستهدف والعنوان والخطورة والبنية والمسند إليه والحقول الدقيقة التي سيتم إرسالها.
جارٍ استخدام "zentao-api". حلّ الخطأ 345 باعتباره fixed.
النتيجة المتوقعة:
تحديث حالة يؤكد الخطأ الذي تم حله وقيمة الحل وملخص استجابة الخادم وأي حقول متابعة.
التدقيق الأمني
مخاطر عاليةv4 • ٦/٧/٢٠٢٦ فتح التقرير المرتبط بالإصدار
The skill is a legitimate ZenTao REST API helper, and many static hits are Markdown code spans or intended API examples. Confirmed issues are the eval-based token helper and plaintext persistent token cache in ~/.zentao-token.json. These can expose long-lived credentials and enable shell execution from malicious token values.
3
الملفات التي تم فحصها
776
الأسطر التي تم تحليلها
21
عناصر المراجعة
0
تم تجاهل الإيجابيات الكاذبة
مخاوف أمنية مؤكدة (2)
مرتفع
Unsafe Eval-Based Credential Export
The skill tells agents to run eval "$(bash scripts/get-token.sh)", while the helper prints ZENTAO_URL, ZENTAO_TOKEN, and ZENTAO_ACCOUNT without shell escaping. A token from cache, environment, or server response can execute shell syntax when evaluated.
The documented eval command is explicit, and the helper emits raw assignment lines without shell quoting. The token value can originate from a server response or cache file.
مرتفع
Persistent Plaintext ZenTao Token Cache
The helper states ZenTao tokens are permanent and writes token, URL, and account data to ~/.zentao-token.json without setting restrictive permissions. This can expose long-lived API credentials to local users or backups.
The cache path and write operations are explicit, and the script comments say ZenTao tokens are permanent. No chmod or credential-store protection is present in the helper.
عناصر مراجعة القدرات (21)
هذه قدرات محلية حقيقية قد يُتوقع وجودها لهذه المهارة، لذا فهي تتطلب مراجعة ولكن لا تُحتسب كسلوك خبيث مؤكد.
مرتفع
Shell command substitution
# 用法:eval "$(bash get-token.sh)" → 设置 ZENTAO_URL、ZENTAO_TOKEN、ZENTAO_ACCOUNT
The documented usage evals the helper output, while the helper prints unescaped URL, token, and account values. A malicious token or cache value can execute shell syntax when evaluated.
مرتفع
Node.js fs operations
fs.writeFileSync(cachePath, JSON.stringify({ token, url, account }, null, 2));
The helper writes ZENTAO_TOKEN, URL, and account into ~/.zentao-token.json in plaintext. The script states tokens are permanent, so local disclosure is a real credential risk.
مرتفع
Node.js fs operations
fs.writeFileSync(cachePath, JSON.stringify({ token, url, account }, null, 2));
The helper writes ZENTAO_TOKEN, URL, and account into ~/.zentao-token.json in plaintext. The script states tokens are permanent, so local disclosure is a real credential risk.
مرتفع
Synchronous file operations
fs.writeFileSync(cachePath, JSON.stringify({ token, url, account }, null, 2));
The helper writes ZENTAO_TOKEN, URL, and account into ~/.zentao-token.json in plaintext. The script states tokens are permanent, so local disclosure is a real credential risk.
مرتفع
Synchronous file operations
fs.writeFileSync(cachePath, JSON.stringify({ token, url, account }, null, 2));
The helper writes ZENTAO_TOKEN, URL, and account into ~/.zentao-token.json in plaintext. The script states tokens are permanent, so local disclosure is a real credential risk.
مرتفع
Hidden file in home directory
# 缓存文件 ~/.zentao-token.json 保存 token、url、account,下次可免密直接使用。
The script deliberately uses a hidden home-directory cache for ZenTao URL, token, and account data. Storing long-lived credentials this way is a real local exposure risk.
مرتفع
Hidden file in home directory
echo " · 缓存文件 ~/.zentao-token.json(含 url、token、account 字段)" >&2
The script deliberately uses a hidden home-directory cache for ZenTao URL, token, and account data. Storing long-lived credentials this way is a real local exposure risk.
مرتفع
Hidden file access
# 缓存文件 ~/.zentao-token.json 保存 token、url、account,下次可免密直接使用。
The script deliberately uses a hidden home-directory cache for ZenTao URL, token, and account data. Storing long-lived credentials this way is a real local exposure risk.
مرتفع
Hidden file access
CACHE_FILE="${HOME}/.zentao-token.json"
The script deliberately uses a hidden home-directory cache for ZenTao URL, token, and account data. Storing long-lived credentials this way is a real local exposure risk.
مرتفع
Hidden file access
echo " · 缓存文件 ~/.zentao-token.json(含 url、token、account 字段)" >&2
The script deliberately uses a hidden home-directory cache for ZenTao URL, token, and account data. Storing long-lived credentials this way is a real local exposure risk.
مرتفع
Ruby/shell backtick execution
```bash
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
مرتفع
Ruby/shell backtick execution
后续所有请求 Header 携带:`token: $ZENTAO_TOKEN`
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
مرتفع
Ruby/shell backtick execution
1. 运行 `eval "$(bash scripts/get-token.sh)"` 获取凭证(自动处理缓存;仍缺失时提示用户)
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
مرتفع
Shell command substitution
eval "$(bash scripts/get-token.sh)"
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
مرتفع
Shell command substitution
1. 运行 `eval "$(bash scripts/get-token.sh)"` 获取凭证(自动处理缓存;仍缺失时提示用户)
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
مرتفع
Template literal with command substitution
```bash
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
مرتفع
Template literal with command substitution
1. 运行 `eval "$(bash scripts/get-token.sh)"` 获取凭证(自动处理缓存;仍缺失时提示用户)
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
مرتفع
Hidden file in home directory
**首次登录后 `ZENTAO_URL`、`ZENTAO_TOKEN`、`ZENTAO_ACCOUNT` 写入 `~/.zentao-token.json`,后续无需重复设置**。
SKILL.md documents that ZenTao URL, token, and account are written to ~/.zentao-token.json after first login. This is persistent plaintext credential storage in a hidden home file.
مرتفع
Hidden file access
**首次登录后 `ZENTAO_URL`、`ZENTAO_TOKEN`、`ZENTAO_ACCOUNT` 写入 `~/.zentao-token.json`,后续无需重复设置**。
SKILL.md documents that ZenTao URL, token, and account are written to ~/.zentao-token.json after first login. This is persistent plaintext credential storage in a hidden home file.
متوسط
Synchronous file operations
const d = JSON.parse(require('fs').readFileSync(process.argv[1], 'utf8'));
The helper reads credentials from ~/.zentao-token.json and feeds them into the shell setup workflow. A tampered cache can supply unsafe values to the eval-based usage pattern.
متوسط
Ruby/shell backtick execution
所有业务 API 需在 Header 携带 `token`。运行 `scripts/get-token.sh` 自动获取:
The skill instructs agents to run a bundled shell credential helper. That helper writes a token cache and emits raw shell assignments, so this crosses a real credential boundary.
عوامل الخطر
⚙️ الأوامر الخارجية (80)
scripts/get-token.sh:3 scripts/get-token.sh:71-73 scripts/get-token.sh:75-77 SKILL.md:19 SKILL.md:20 SKILL.md:21 SKILL.md:22 SKILL.md:24 SKILL.md:26 SKILL.md:30 SKILL.md:32-35 SKILL.md:35-37 SKILL.md:37 SKILL.md:39-43 SKILL.md:43-52 SKILL.md:52-56 SKILL.md:56-57 SKILL.md:57-58 SKILL.md:58-59 SKILL.md:59-60 SKILL.md:60-61 SKILL.md:61-62 SKILL.md:62-63 SKILL.md:63-64 SKILL.md:64-65 SKILL.md:65-66 SKILL.md:66-67 SKILL.md:67-68 SKILL.md:68-69 SKILL.md:69-70 SKILL.md:70-71 SKILL.md:71-72 SKILL.md:72-73 SKILL.md:73-74 SKILL.md:74-84 SKILL.md:84 SKILL.md:85 SKILL.md:86-87 SKILL.md:87-89 SKILL.md:89 SKILL.md:95-98 SKILL.md:98-102 SKILL.md:102-106 SKILL.md:106-110 SKILL.md:110-114 SKILL.md:114-118 SKILL.md:118-122 SKILL.md:122-126 SKILL.md:126-130 SKILL.md:130-134 SKILL.md:134-138 SKILL.md:138-142 SKILL.md:142-146 SKILL.md:146-150 SKILL.md:150-154 SKILL.md:154-158 SKILL.md:158-162 SKILL.md:162-168 SKILL.md:168 SKILL.md:169 SKILL.md:170 SKILL.md:171 SKILL.md:172 SKILL.md:173 SKILL.md:174 SKILL.md:175 SKILL.md:176 SKILL.md:177 SKILL.md:178 SKILL.md:179 SKILL.md:180 SKILL.md:181 SKILL.md:215-216 SKILL.md:216 SKILL.md:220-221 SKILL.md:221 SKILL.md:33 SKILL.md:43 SKILL.md:32-35 SKILL.md:43
📁 الوصول إلى نظام الملفات (15)
scripts/get-token.sh:57 scripts/get-token.sh:98 scripts/get-token.sh:30 scripts/get-token.sh:57 scripts/get-token.sh:98 scripts/get-token.sh:5 scripts/get-token.sh:65 scripts/get-token.sh:5 scripts/get-token.sh:10 scripts/get-token.sh:65 scripts/get-token.sh:33 SKILL.md:24 SKILL.md:220 SKILL.md:24 SKILL.md:220
🌐 الوصول إلى الشبكة (4)
دقّقه: codex عرض سجل التدقيق →
شارك واستشهد بهذا التقرير
شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.
نسخ رابط التقرير
https://skillstore.io/skills/easysoft-zentao-api/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportشارة Markdown
[](https://skillstore.io/skills/easysoft-zentao-api?utm_source=security_passport_badge)شارة HTML
<a href="https://skillstore.io/skills/easysoft-zentao-api?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/easysoft-zentao-api/security.svg" alt="Skillstore security assessment" loading="lazy"></a>بطاقة قابلة للتضمين
<iframe src="https://skillstore.io/embed/skills/easysoft-zentao-api.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>الاستشهادات الأكاديمية (APA · BibTeX · CFF)
اقتباس APA
easysoft. (2026). zentao-api security audit report (audit version 4) [Author version 1.0.4]. Skillstore. https://skillstore.io/skills/easysoft-zentao-api/audits/4اقتباس BibTeX
@techreport{easysoft-easysoft-zentao-api-2026,
author = {easysoft},
title = {zentao-api security audit report (audit version 4)},
institution = {Skillstore},
year = {2026},
number = {4},
url = {https://skillstore.io/skills/easysoft-zentao-api/audits/4},
note = {Author version 1.0.4}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "zentao-api security audit report (audit version 4)"
version: "1.0.4"
type: report
authors:
- name: "easysoft"
date-released: "2026-07-06"
url: "https://skillstore.io/skills/easysoft-zentao-api/audits/4"
identifiers:
- type: other
value: "skillstore:easysoft-zentao-api:audit:4"
description: "Skillstore immutable audit report identifier"
تقييم Skillstore
سبب هذا التقييم موثوقية الأدلة: متوسط 45
الهندسة المعمارية
100
قابلية الصيانة
85
المحتوى
68
المجتمع
100
الامتثال للمواصفات
ما الذي يمكنك بناؤه
مراجعة حالة التسليم
راجع المشاريع النشطة وعمليات التنفيذ والعمل المحظور دون تركيب عناوين URL الخاصة بـ API يدويًا.
فرز الأخطاء وأعمال الاختبار
أنشئ الأخطاء وسجلات الاختبار أو رشحها أو حلها أو أغلقها باستخدام حقول ZenTao المتسقة.
صيانة مهام السبرنت
حدّث المهام والمتطلبات والبنيات والإصدارات مع الحفاظ على حقول سير العمل المطلوبة.
جرّب هذه الموجّهات
سرد المشاريع النشطة
اعرض مشاريع ZenTao النشطة واسرد عمليات التنفيذ النشطة الخاصة بها. ضمّن الأسماء والمعرفات والمالكين والحالة الحالية.
العثور على أخطاء المنتج
اعثر على الأخطاء المفتوحة للمنتج 12. رتّب الأحدث أولًا ولخّص الخطورة والمسند إليه والعنوان.
إنشاء خطأ مؤكد
حضّر خطأ جديدًا للمنتج 12 مع العنوان والخطورة والبنية والمالك المسند. اطلب مني التأكيد قبل إنشائه.
تنسيق تحديثات الإصدار
راجع أخطاء المشروع 8 ومهامه وبنياته. اقترح إجراءات إصدار، ثم أكد كل عملية كتابة في ZenTao قبل التنفيذ.
أفضل الممارسات
- عيّن ZENTAO_URL وZENTAO_TOKEN في متغيرات البيئة قبل الاستخدام.
- أكد جميع عمليات الإنشاء والتحديث والحذف وتغيير الحالة.
- راجع الحقول المطلوبة في مرجع API قبل إرسال طلبات الكتابة.
تجنب
- لا تلصق الرموز المميزة الدائمة في سجلات المحادثة.
- لا تنفذ تغييرات مدمرة دون تأكيد معرفات الأهداف.
- لا تعتمد على قيم الدرجة الافتراضية عند إنشاء سجلات Story أو Epic أو Requirement.
الأسئلة المتكررة
بماذا تتصل هذه المهارة؟
يتصل بـ ZenTao REST API v2.0 على خادم تقدمه أنت.
هل تحتاج إلى بيانات اعتماد؟
نعم. تحتاج إلى عنوان URL لـ ZenTao وإما رمز مميز أو بيانات اعتماد الحساب.
هل يمكنها تغيير سجلات ZenTao؟
نعم. يمكنها إنشاء السجلات وتحديثها وحذفها ونقل حالتها عندما توافق على تلك الإجراءات.
ما الوحدات المشمولة؟
تغطي المشاريع والمنتجات وعمليات التنفيذ والمتطلبات والأخطاء والمهام والاختبارات والإصدارات والمستخدمين والملفات والملاحظات والتذاكر.
هل تدعم Claude وCodex وClaude Code؟
نعم. يعلن التقرير دعم Claude وCodex وClaude Code.
كيف تعمل المصادقة؟
تستخدم متغيرات البيئة أو البرنامج النصي المساعد للحصول على عنوان URL لـ ZenTao والرمز المميز والحساب.
تفاصيل المطور
المؤلف
easysoftالترخيص
MIT
إصدار المؤلف
v1.0.4
مراجعة Skillstore
r1
مرجع
72d5025b022c77f7a51bdf5c1637c689c80e89d1
حداثة الصيانة
١٨/٧/٢٠٢٦
الاستخدام
3 تنزيلات · 89 مشاهدات
بنية الملفات