هذا التقرير غير مترجم إلى اللغة المطلوبة. يتم عرض التقرير الإنجليزي الأساسي بدلاً منه.

تقييم أمني مُحدَّث بالإصدار

معرّف التقرير: SA-EF5950C0

3/21/2026, 8:14:01 AM

javascript-sdk تقييم أمني v1

تقرير شهادة أمان المهارة

سجل التدقيق

نموذج التدقيق: claude تقرير تاريخي

اسم المهارة: javascript-sdk
الإصدار: v1
المشرف: inferen-sh
المصدر: github.com/inferen-sh/skills/tree/main/sdk/javascript-sdk/
التغطية: 9 الملفات التي تم فحصها · 3,959 الأسطر التي تم تحليلها
إصدار السياسة: غير متاح

أعلى مستوى خطورة لنتيجة مؤكدة

متوسط

تتطلب 3 اكتشافات أمنية مؤكدة اهتمامًا.

سياق التثبيت

الأدلة التاريخية

قد لا يصف هذا التقرير العنصر القابل للتثبيت حاليًا. افتح صفحة المهارة الحالية للحصول على إرشادات التثبيت.

افتح صفحة Skill الحالية

لا يحظر هذا التقرير البيان أو ملف ZIP ولا يصرح بهما.

This is a documentation skill containing markdown files with code examples for the @inferencesh/sdk. Static scanner flagged 579 potential issues, but most are false positives from markdown code fences. The remaining findings are legitimate API usage patterns (network calls, environment variables) for an SDK that must communicate with inference.sh API. One notable pattern: eval() is used in code examples for a calculator tool demonstration without explicit input sanitization warnings.

موضع التقرير

تقرير تاريخي

افتح سجل التدقيق قبل استخدام هذا التقرير للتثبيت.

إقرار التدقيق

غير قابل للتصديق

الربط الثابت المطلوب غير مكتمل.

التحقق البشري

لم يتم التحقق منه

لم يتم تسجيل أي تحقق بشري لهذا التقرير.

التغطية

9 الملفات التي تم فحصها · 3,959 الأسطر التي تم تحليلها

5 عناصر معروضة للمراجعة

القيود

لا يدّعي هذا التقرير تنفيذًا في وقت التشغيل أو ضمن بيئة معزولة، ولا يثبت عدم وجود آثار جانبية.

سلسلة الأدلة

اتبع الأدلة من ربط المصدر إلى عقد التثبيت. تدعم الأدلة المتاحة التحقق؛ لكنها ليست ضمانًا للسلامة.

المصدر

الربط غير متاح
العنصر البرمجي

الهوية غير مكتملة
التدقيق

مكتمل
عقد التثبيت

افتح البيان للتحقق
افتح البيان

القدرات المرصودة

تعني «تمت ملاحظته» أن هذا التقرير سجل أدلة داعمة. ولا يثبت عدم التسجيل أن القدرة غير موجودة.

يحتوي على سكربتات

قد ينفذ تعليمات برمجية مضمنة مع المهارة.

تمت ملاحظته في 2 مواضع أدلة

الوصول إلى الشبكة

قد يتصل بخدمات خارجية.

تمت ملاحظته في 3 مواضع أدلة

الوصول إلى نظام الملفات

قد يقرأ أو يكتب ملفات محلية.

لم يتم تسجيله بواسطة هذا التدقيق

متغيرات البيئة

قد يقرأ قيماً من بيئة العملية.

لم يتم تسجيله بواسطة هذا التدقيق

الأوامر الخارجية

قد يستدعي أوامر أو برامج خارج المهارة.

لم يتم تسجيله بواسطة هذا التدقيق

عناصر مراجعة القدرات (2)

مرتفع

references/tool-builder.md:240 references/tool-builder.md:387

Code Examples Using eval() for Math Evaluation

Tool builder documentation shows eval() used to evaluate math expressions from agent tool calls. While demonstrating a calculator tool pattern, eval() on user-controlled input is dangerous without sanitization. Users implementing this pattern should use safe evaluation libraries like math.js.

eval() is explicitly present in code examples showing calculator tool implementation. The call.args.expression parameter comes from agent tool calls, making it user-influenced input.

منخفض

SKILL.md:529-535

Hardcoded URLs Flagged as Network Access

Scanner flagged hardcoded URLs for inference.sh API and Slack webhooks. These are legitimate API endpoints documented for SDK integration.

URLs are official inference.sh API endpoints documented for proper SDK usage. No malicious endpoints detected.

نتائج المخاطر

يتم فصل المخاوف الأمنية المؤكدة عن العناصر التي لا تزال بحاجة إلى مراجعة.

مخاوف أمنية مؤكدة (3)

RISK-001 متوسط

SKILL.md:53 SKILL.md:407 references/server-proxy.md:43 references/server-proxy.md:57

Environment Variable Access for API Credentials

Code examples access process.env.INFERENCE_API_KEY for authentication. This is the recommended secure pattern for SDK usage, but documentation should clarify that users must provide their own API keys.

Standard SDK credential pattern. The skill is documentation, not executable code, so no actual credentials are exposed.

RISK-002 متوسط

references/tool-builder.md:159 references/tool-builder.md:166

Webhook Tools with External API Endpoints

Documentation shows webhook tools calling external services (Slack, GitHub). These are legitimate integration patterns for the SDK.

Standard webhook pattern documented for extensibility. Secrets are stored server-side via .secret() method, not exposed client-side.

RISK-003 منخفض

Markdown Code Fences Flagged as External Commands

Scanner flagged 367 instances of 'Ruby/shell backtick execution' - these are markdown code fences (```bash, ```typescript) not actual shell commands. All files are .md documentation.

All files are markdown documentation. Backtick patterns are code formatting, not executable code. Multiple files show this false positive pattern.

أدلة الخبراء

هوية موضوع غير قابلة للتغيير، وبيانات تعريف الماسح الضوئي، والمطابقات المستبعدة، والأدلة على مستوى المصدر.

موضوع العنصر البرمجي

التزام Marketplace: غير متاح
تجزئة المحتوى: غير متاح
تجزئة الشجرة: غير متاح
مسار Skill: غير متاح
تجزئة حمولة التدقيق: غير متاح

البيانات الوصفية للتحليل

نموذج التدقيق: claude

حالة التحليل: مكتمل

النطاق محدود بالملفات والأسطر والأساليب والأدلة المسجلة. لا يُدّعى تنفيذ وقت التشغيل أو بيئة الاختبار المعزولة.

تم تجاهل الإيجابيات الكاذبة الثابتة (1)

منخفض

Weak Cryptographic Algorithm Flags Are False Positives

Scanner flagged 'Weak cryptographic algorithm' patterns - these appear to be false positives from YAML frontmatter (---) and legitimate hash references.

No actual weak crypto implementations found. Frontmatter delimiters and documentation references triggered false positives.

التحقق والتصدير

تقرير JSON CITATION.cff SARIF 2.1.0 بيان تثبيت موقّع

يربط البيان وملف القفل عناصر التثبيت بتجزئات تشفيرية. هذا الادعاء المتعلق بالسلامة منفصل عن التقييم الأمني.

إقرار التدقيق: not_attestable