المهارات baoyu-danger-gemini-web

📦

baoyu-danger-gemini-web

Name: baoyu-danger-gemini-web
Author: jimliu

v1.56.2 مراجعة المحتوى r2 مخاطر عالية 🌐 الوصول إلى الشبكة📁 الوصول إلى نظام الملفات⚙️ الأوامر الخارجية🔑 متغيرات البيئة

إنشاء صور ونصوص Gemini Web

تحتاج الفرق إلى إنشاء سريع للصور والنصوص دون بناء واجهة مستخدم منفصلة. توفر هذه المهارة سير عمل عبر CLI لمطالبات Gemini Web والصور والمراجع والجلسات.

يدعم: Claude Codex Code(CC)

⚠️ 38 ضعيف

توقف واطلب التأكيد قبل التثبيت.

راجع الخطة واحصل على موافقة صريحة من المستخدم قبل تغيير الملفات.

التثبيت باستخدام Agent لدي

انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.

طلب الوكيل

Review the Skillstore skill "baoyu-danger-gemini-web" from https://skillstore.io/skills/jimliu-baoyu-danger-gemini-web.md and its manifest at https://skillstore.io/api/skills/jimliu-baoyu-danger-gemini-web/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.

موارد مهيّأة لـ Agents

استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.

تفاصيل Markdown GET /skills/jimliu-baoyu-danger-gemini-web.md manifest موقَّع GET /api/skills/jimliu-baoyu-danger-gemini-web/manifest lockfile موقَّع GET /api/skills/jimliu-baoyu-danger-gemini-web/lockfile

اختبرها

جارٍ استخدام "baoyu-danger-gemini-web". Generate a clean product mockup image for a compact desk lamp.

النتيجة المتوقعة:

يعيد مسار صورة محفوظة ونصًا وصفيًا اختياريًا من Gemini Web.

جارٍ استخدام "baoyu-danger-gemini-web". Explain a technical topic using a prompt file and plain text output.

النتيجة المتوقعة:

يعيد ردًا نصيًا موجزًا مناسبًا للمراجعة أو إعادة الاستخدام.

جارٍ استخدام "baoyu-danger-gemini-web". Use a reference image to create a new visual variation.

النتيجة المتوقعة:

يرفع الصورة المرجعية، ويطلب تنويعًا، ويحفظ النتيجة المُنشأة محليًا.

التدقيق الأمني

مخاطر عالية

v5 • ٧‏/٨‏/٢٠٢٦ فتح التقرير المرتبط بالإصدار

Most low and medium static matches are false positives from documented Google endpoints, relative imports, template literals, configuration reads, and normal session storage. Confirmed risks include cached authentication-cookie access, shell process execution for WSL detection, browser cookie reuse, and an output filename path escape; the skill should not be published until these are addressed.

الملفات التي تم فحصها

2,970

الأسطر التي تم تحليلها

عناصر المراجعة

تم تجاهل الإيجابيات الكاذبة

مخاوف أمنية مؤكدة (4)

مرتفع

scripts/gemini-webapi/utils/cookie-file.ts:46

Certificate/key files

return Object.keys(out).length > 0 ? out : null;

The code reads and returns persisted authentication cookie values from a local file. These cookies can authorize Google sessions, so compromise of the file exposes credentials even though the scanner label is imprecise.

مرتفع

scripts/gemini-webapi/utils/cookie-file.ts:55

Certificate/key files

return Object.keys(out).length > 0 ? out : null;

مرتفع

scripts/gemini-webapi/utils/load-browser-cookies.ts:105-119 scripts/gemini-webapi/utils/load-browser-cookies.ts:150-158

Authenticated Browser Session Reuse

The client discovers an existing Chrome debugging session, retrieves Google cookies through CDP, and persists them for authenticated Gemini requests. This can grant the skill access to an active Google account session.

The source directly discovers a running browser, calls Network.getCookies for Google domains, and returns the cookie values for later authenticated requests.

مرتفع

scripts/gemini-webapi/types/image.ts:73-78

Output Filename Path Escape

Image.save joins the resolved output directory with a filename without constraining the filename to a basename. A caller-supplied filename containing traversal segments could write outside the intended directory.

The destination is built with path.join from a caller-influenced filename, and no basename check or resolved-path containment check is present before writeFile.

عناصر مراجعة القدرات (8)

هذه قدرات محلية حقيقية قد يُتوقع وجودها لهذه المهارة، لذا فهي تتطلب مراجعة ولكن لا تُحتسب كسلوك خبيث مؤكد.

مرتفع

scripts/gemini-webapi/utils/paths.ts:1

Node.js child_process module

import { execSync } from 'node:child_process';

The code invokes a system process through execSync for WSL and Windows path detection. The wslpath command interpolates command output into a shell string, creating a genuine process-execution and injection surface.

مرتفع

scripts/gemini-webapi/utils/paths.ts:38

Synchronous process execution

const raw = execSync('cmd.exe /C "echo %USERPROFILE%"', { encoding: 'utf-8', timeout: 5000 }).trim()

مرتفع

scripts/gemini-webapi/utils/paths.ts:39

Synchronous process execution

_wslHome = execSync(`wslpath -u "${raw}"`, { encoding: 'utf-8', timeout: 5000 }).trim() || null;

مرتفع

scripts/gemini-webapi/utils/paths.ts:38

Windows cmd.exe

const raw = execSync('cmd.exe /C "echo %USERPROFILE%"', { encoding: 'utf-8', timeout: 5000 }).trim()

متوسط

scripts/gemini-webapi/utils/get-access-token.ts:44

Node.js fs operations

const v = fs.readFileSync(p, 'utf8').trim();

The code reads cached authentication material from local files and enumerates cached token files. These values can authorize a Google session, so local credential access is a real security risk.

متوسط

scripts/gemini-webapi/utils/get-access-token.ts:55

Node.js fs operations

for (const f of fs.readdirSync(dir)) {

The code reads cached authentication material from local files and enumerates cached token files. These values can authorize a Google session, so local credential access is a real security risk.

متوسط

scripts/gemini-webapi/utils/get-access-token.ts:44

Synchronous file operations

const v = fs.readFileSync(p, 'utf8').trim();

The code reads cached authentication material from local files and enumerates cached token files. These values can authorize a Google session, so local credential access is a real security risk.

متوسط

scripts/gemini-webapi/utils/paths.ts:39

Ruby/shell backtick execution

_wslHome = execSync(`wslpath -u "${raw}"`, { encoding: 'utf-8', timeout: 5000 }).trim() || null;

The template literal is passed directly to execSync for shell execution, and it interpolates the result of another command into the wslpath string. This creates a genuine process-execution and injection surface.

عوامل الخطر

🌐 الوصول إلى الشبكة (23)

📁 الوصول إلى نظام الملفات (34)

⚙️ الأوامر الخارجية (50)

🔑 متغيرات البيئة (26)

دقّقه: codex عرض سجل التدقيق →

شارك واستشهد بهذا التقرير

شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.

فتح التقرير المرتبط بالإصدار

نسخ رابط التقرير

https://skillstore.io/skills/jimliu-baoyu-danger-gemini-web/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

شارة Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/jimliu-baoyu-danger-gemini-web/security.svg)](https://skillstore.io/skills/jimliu-baoyu-danger-gemini-web?utm_source=security_passport_badge)

شارة HTML

<a href="https://skillstore.io/skills/jimliu-baoyu-danger-gemini-web?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/jimliu-baoyu-danger-gemini-web/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

بطاقة قابلة للتضمين

<iframe src="https://skillstore.io/embed/skills/jimliu-baoyu-danger-gemini-web.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

الاستشهادات الأكاديمية (APA · BibTeX · CFF)

اقتباس APA

jimliu. (2026). baoyu-danger-gemini-web security audit report (audit version 5) [Author version 1.56.2]. Skillstore. https://skillstore.io/skills/jimliu-baoyu-danger-gemini-web/audits/5

اقتباس BibTeX

@techreport{jimliu-jimliu-baoyu-danger-gemini-web-2026,
  author = {jimliu},
  title = {baoyu-danger-gemini-web security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/jimliu-baoyu-danger-gemini-web/audits/5},
  note = {Author version 1.56.2}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "baoyu-danger-gemini-web security audit report (audit version 5)"
version: "1.56.2"
type: report
authors:
  - name: "jimliu"
date-released: "2026-08-07"
url: "https://skillstore.io/skills/jimliu-baoyu-danger-gemini-web/audits/5"
identifiers:
  - type: other
    value: "skillstore:jimliu-baoyu-danger-gemini-web:audit:5"
    description: "Skillstore immutable audit report identifier"

تقييم Skillstore

سبب هذا التقييم موثوقية الأدلة: مرتفع

الهندسة المعمارية

100

قابلية الصيانة

المحتوى

المجتمع

الامتثال للمواصفات

ما الذي يمكنك بناؤه

إنشاء مسودات مرئية

أنشئ صور مفاهيمية سريعة من مطالبات مكتوبة واحفظها للمراجعة أو التكرار.

إنتاج نصوص بمساعدة الذكاء الاصطناعي

أرسل ملفات مطالبات أو طلبات قصيرة إلى Gemini Web واجمع الإخراج النصي من CLI.

أتمتة التنويعات المرئية

استخدم الصور المرجعية ومعرفات الجلسات لتشغيل سير عمل قابل للتكرار لتنويعات الصور.

جرّب هذه الموجّهات

إنشاء صورة واحدة

Generate an image of [subject] in [style]. Save it to [file name].

طلب نص

Use Gemini Web to answer this request: [question or writing task].

استخدام صور مرجعية

Use [reference image paths] as visual references. Generate a new image that changes [specific elements] and keeps [specific elements].

متابعة جلسة

Continue session [session id]. Use the previous context and produce the next output for [task].

أفضل الممارسات

استخدم حساب Google مخصصًا لأن المهارة تتعامل مع ملفات تعريف ارتباط جلسة المتصفح.
راجع ملفات المطالبات والصور المرجعية قبل إرسالها إلى Gemini Web.
خزّن الصور المُنشأة وملفات الجلسات في أدلة خاصة بالمشروع.