هذا التقرير غير مترجم إلى اللغة المطلوبة. يتم عرض التقرير الإنجليزي الأساسي بدلاً منه.

تقييم أمني مُحدَّث بالإصدار

معرّف التقرير: SA-CAFE0E45

7/8/2026, 1:39:04 AM

eightctl تقييم أمني v5

تقرير شهادة أمان المهارة

سجل التدقيق
نموذج التدقيق: codex تقرير تاريخي
اسم المهارة
eightctl
الإصدار
v5
المشرف
aiskillstore
المصدر
github.com/aiskillstore/marketplace/tree/main/skills/mylukin/eightctl/
التغطية
1 الملفات التي تم فحصها · 51 الأسطر التي تم تحليلها
إصدار السياسة
غير متاح

أعلى مستوى خطورة لنتيجة مؤكدة

متوسط

تتطلب 3 اكتشافات أمنية مؤكدة اهتمامًا.

سياق التثبيت

الأدلة التاريخية

قد لا يصف هذا التقرير العنصر القابل للتثبيت حاليًا. افتح صفحة المهارة الحالية للحصول على إرشادات التثبيت.

افتح صفحة Skill الحالية

لا يحظر هذا التقرير البيان أو ملف ZIP ولا يصرح بهما.

The static Ruby backtick and system reconnaissance findings are false positives from Markdown examples. The audit confirms sensitive hidden config usage and adds semantic findings for mutable remote installation, credential environment variables, and physical device control side effects.

موضع التقرير

تقرير تاريخي

افتح سجل التدقيق قبل استخدام هذا التقرير للتثبيت.

إقرار التدقيق

غير قابل للتصديق

الربط الثابت المطلوب غير مكتمل.

التحقق البشري

لم يتم التحقق منه

لم يتم تسجيل أي تحقق بشري لهذا التقرير.

التغطية

1 الملفات التي تم فحصها · 51 الأسطر التي تم تحليلها

5 عناصر معروضة للمراجعة

القيود

لا يدّعي هذا التقرير تنفيذًا في وقت التشغيل أو ضمن بيئة معزولة، ولا يثبت عدم وجود آثار جانبية.

سلسلة الأدلة

اتبع الأدلة من ربط المصدر إلى عقد التثبيت. تدعم الأدلة المتاحة التحقق؛ لكنها ليست ضمانًا للسلامة.

  1. المصدر

    الربط غير متاح

  2. العنصر البرمجي

    الهوية غير مكتملة

  3. التدقيق

    مكتمل

  4. عقد التثبيت

    افتح البيان للتحقق

    افتح البيان

القدرات المرصودة

تعني «تمت ملاحظته» أن هذا التقرير سجل أدلة داعمة. ولا يثبت عدم التسجيل أن القدرة غير موجودة.

يحتوي على سكربتات

قد ينفذ تعليمات برمجية مضمنة مع المهارة.

لم يتم تسجيله بواسطة هذا التدقيق

الوصول إلى الشبكة

قد يتصل بخدمات خارجية.

تمت ملاحظته في موضع دليل واحد 1

الوصول إلى نظام الملفات

قد يقرأ أو يكتب ملفات محلية.

تمت ملاحظته في موضع دليل واحد 1

متغيرات البيئة

قد يقرأ قيماً من بيئة العملية.

لم يتم تسجيله بواسطة هذا التدقيق

الأوامر الخارجية

قد يستدعي أوامر أو برامج خارج المهارة.

تمت ملاحظته في 10 مواضع أدلة

عناصر مراجعة القدرات (2)
مرتفع
SKILL.md:31
Hidden file in home directory
- Config: `~/.config/eightctl/config.yaml`
The skill documents an auth config path under ~/.config, which can contain sensitive Eight Sleep credentials or tokens.
متوسط
SKILL.md:31
Hidden file access
- Config: `~/.config/eightctl/config.yaml`
The skill references a hidden config file used for authentication. Access should be limited and credentials should be redacted.

نتائج المخاطر

يتم فصل المخاوف الأمنية المؤكدة عن العناصر التي لا تزال بحاجة إلى مراجعة.

مخاوف أمنية مؤكدة (3)

RISK-001 متوسط
SKILL.md:11-18
Unpinned Remote Binary Install Source
The install metadata uses github.com/steipete/eightctl/cmd/eightctl@latest. This mutable version can install future code that was not reviewed with the skill.
The source file directly specifies a Go install module ending in @latest.
RISK-002 متوسط
SKILL.md:31-32
Sensitive Credential Environment Variables
The skill documents EIGHTCTL_EMAIL and EIGHTCTL_PASSWORD for authentication. Password environment variables can leak through shell history, logs, or process environments.
The file explicitly lists an email and password environment variable for authentication.
RISK-003 متوسط
SKILL.md:36-45SKILL.md:49-50
Physical Device State Changes
The skill exposes commands that change pod power, temperature, alarms, audio, and base angle. These actions should require explicit user confirmation.
The command list includes state-changing device controls, and the notes require confirmation for some changes.

إجراءات المعالجة

سجّل هذا التدقيق الإصلاحات المقترحة. تطبيقها مسؤولية المشرف على الصيانة.

  1. FIX-001
    مرتفع
    Hidden credential config path
    Avoid reading or displaying raw config file contents. Use the CLI auth flow and redact secrets in all output.
  2. FIX-002
    متوسط
    Mutable install source
    Pin the Go install target to a reviewed version tag instead of @latest.
  3. FIX-003
    متوسط
    Sensitive authentication material
    Tell users to avoid exposing EIGHTCTL_PASSWORD in shared shells, logs, or checked-in scripts.
  4. FIX-004
    متوسط
    Physical device changes
    Require explicit user confirmation before changing temperature, alarms, audio, power, or base angle.

أدلة الخبراء

هوية موضوع غير قابلة للتغيير، وبيانات تعريف الماسح الضوئي، والمطابقات المستبعدة، والأدلة على مستوى المصدر.

موضوع العنصر البرمجي

التزام Marketplace
غير متاح
تجزئة المحتوى
غير متاح
تجزئة الشجرة
غير متاح
مسار Skill
غير متاح
تجزئة حمولة التدقيق
غير متاح

البيانات الوصفية للتحليل

نموذج التدقيق: codex

حالة التحليل: مكتمل

النطاق محدود بالملفات والأسطر والأساليب والأدلة المسجلة. لا يُدّعى تنفيذ وقت التشغيل أو بيئة الاختبار المعزولة.

التحقق والتصدير

تقرير JSON CITATION.cff SARIF 2.1.0 بيان تثبيت موقّع

يربط البيان وملف القفل عناصر التثبيت بتجزئات تشفيرية. هذا الادعاء المتعلق بالسلامة منفصل عن التقييم الأمني.

إقرار التدقيق: not_attestable