📦

playwright-skill

Name: playwright-skill
Author: sickn33

مراجعة المحتوى r1 حرج ⚙️ الأوامر الخارجية🌐 الوصول إلى الشبكة📁 الوصول إلى نظام الملفات🔑 متغيرات البيئة⚡ يحتوي على سكربتات

أتمتة اختبار المتصفح باستخدام Playwright

فحوصات المتصفح اليدوية بطيئة ومن السهل أن تفوتها. تنشئ هذه المهارة أتمتة Playwright مركزة للصفحات والنماذج ولقطات الشاشة وفحوصات الاستجابة.

يدعم: Claude Codex Code(CC)

⚠️ 38 ضعيف

لا تثبّت هذا Skill تلقائيًا.

تتطلب السياسة المعتمدة مراجعة المشغّل قبل أي إجراء تثبيت.

التثبيت باستخدام Agent لدي

انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.

طلب الوكيل

Review the Skillstore skill "playwright-skill" from https://skillstore.io/skills/sickn33-playwright-skill.md and its manifest at https://skillstore.io/api/skills/sickn33-playwright-skill/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.

موارد مهيّأة لـ Agents

استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.

تفاصيل Markdown GET /skills/sickn33-playwright-skill.md manifest موقَّع GET /api/skills/sickn33-playwright-skill/manifest lockfile موقَّع GET /api/skills/sickn33-playwright-skill/lockfile

اختبرها

جارٍ استخدام "playwright-skill". افحص تطبيق localhost لدي بصريا.

النتيجة المتوقعة:

تم العثور على خادم محلي واحد على المنفذ 3001.
تم تحميل الصفحة الرئيسية في نافذة Chromium مرئية.
تم حفظ لقطات شاشة لسطح المكتب والجوال وتسجيل مشكلتين في التخطيط.

جارٍ استخدام "playwright-skill". اختبر ما إذا كان تسجيل الدخول يعيد التوجيه إلى لوحة التحكم.

النتيجة المتوقعة:

تم إرسال نموذج تسجيل الدخول بنجاح وأعيد التوجيه إلى لوحة التحكم. لم يبلغ السكربت عن أي رسائل خطأ مرئية.

جارٍ استخدام "playwright-skill". ابحث عن روابط خارجية معطلة.

النتيجة المتوقعة:

تم جمع الروابط الخارجية من الصفحة.
تم الإبلاغ عن الروابط العاملة والفاشلة مع رموز الحالة الخاصة بها.
تم تمييز الروابط التي انتهت مهلتها أثناء الفحص.

التدقيق الأمني

حرج

v4 • ٧‏/٧‏/٢٠٢٦ فتح التقرير المرتبط بالإصدار

Most documentation backtick and example URL detections are false positives. Material risks remain in run.js, which executes generated JavaScript with Node privileges and can install dependencies automatically. Header injection and sandbox-disabled browser launch also need remediation before marketplace auto-install.

الملفات التي تم فحصها

1,806

الأسطر التي تم تحليلها

عناصر المراجعة

تم تجاهل الإيجابيات الكاذبة

مخاوف أمنية مؤكدة (7)

حرج

SKILL.md:17-24 SKILL.md:41-42 run.js:52-71 run.js:121-147 run.js:205-209

Arbitrary Node.js Execution by Design

The skill tells the agent to write custom Playwright code and run it with run.js. run.js accepts file, inline, or stdin input, writes it to JavaScript, and loads it with require().

The documentation instructs generated script execution, and run.js implements file, inline, and stdin execution through require(). This directly grants generated code local Node.js privileges.

مرتفع

lib/helpers.js:16

Environment file access

const headerValue = process.env.PW_HEADER_VALUE;

This line reads PW_HEADER_VALUE, which can hold credentials or tokens. The value is later propagated into HTTP headers, so the sensitive-data risk is real.

مرتفع

lib/helpers.js:22

Environment file access

const headersJson = process.env.PW_EXTRA_HEADERS;

This line reads PW_EXTRA_HEADERS, which can include credential-bearing headers. The helper later applies those headers to browser contexts.

مرتفع

lib/helpers.js:366

Certificate/key files

...(Object.keys(mergedHeaders).length > 0 && { extraHTTPHeaders: mergedHeaders })

The spread merges environment-derived values into extraHTTPHeaders. This can propagate tokens to visited pages even though no certificate file is accessed.

مرتفع

lib/helpers.js:47

UID/GID manipulation

args: ['--no-sandbox', '--disable-setuid-sandbox']

Chromium is launched with --no-sandbox and --disable-setuid-sandbox by default. Disabling the browser sandbox increases impact from malicious or compromised pages.

مرتفع

SKILL.md:331-350 lib/helpers.js:14-27 lib/helpers.js:350-366

Unscoped Environment Header Propagation

The skill documents authentication tokens in custom headers and helper code applies environment-derived headers to browser contexts. A token for one target could be sent to another site.

The prose explicitly suggests authentication tokens, and the helper merges those environment values into extraHTTPHeaders. The code does not scope headers to a single origin.

منخفض

lib/helpers.js:392

System reconnaissance

hostname: 'localhost',

The helper probes localhost ports to discover running services. The behavior is limited to common dev ports, but it is still local service reconnaissance.

عناصر مراجعة القدرات (20)

هذه قدرات محلية حقيقية قد يُتوقع وجودها لهذه المهارة، لذا فهي تتطلب مراجعة ولكن لا تُحتسب كسلوك خبيث مؤكد.

حرج

run.js:209

Dynamic require with variable

require(tempFile);

run.js writes user or model supplied JavaScript to a temp file and loads it with require(). That executes arbitrary local Node.js code.

مرتفع

run.js:15

Node.js child_process module

const { execSync } = require('child_process');

run.js imports child_process and uses execSync during dependency setup. This is real process execution from the skill runtime.

مرتفع

run.js:38

Synchronous process execution

execSync('npm install', { stdio: 'inherit', cwd: __dirname });

run.js automatically runs npm install when Playwright is missing. That executes an external package-manager command from the skill runtime.

مرتفع

run.js:39

Synchronous process execution

execSync('npx playwright install chromium', { stdio: 'inherit', cwd: __dirname });

run.js automatically runs npx playwright install chromium when Playwright is missing. That executes an external command and can fetch browser dependencies.

متوسط

lib/helpers.js:15

Environment variable access (dot notation)

const headerName = process.env.PW_HEADER_NAME;

The helper reads environment variables for custom HTTP header configuration. Those headers can influence requests made by browser contexts.

متوسط

lib/helpers.js:16

Environment variable access (dot notation)

const headerValue = process.env.PW_HEADER_VALUE;

PW_HEADER_VALUE can contain authentication material and is later used as an HTTP header value. That makes this real secret-bearing environment access.

متوسط

lib/helpers.js:22

Environment variable access (dot notation)

const headersJson = process.env.PW_EXTRA_HEADERS;

PW_EXTRA_HEADERS can contain multiple header values and is parsed from the environment. Those values are later applied to browser requests.

متوسط

lib/helpers.js:15

Environment variable object

const headerName = process.env.PW_HEADER_NAME;

The helper reads environment variables for custom HTTP header configuration. Those headers can influence requests made by browser contexts.

متوسط

lib/helpers.js:16

Environment variable object

const headerValue = process.env.PW_HEADER_VALUE;

PW_HEADER_VALUE can contain authentication material and is later used as an HTTP header value. That makes this real secret-bearing environment access.

متوسط

lib/helpers.js:22

Environment variable object

const headersJson = process.env.PW_EXTRA_HEADERS;

PW_EXTRA_HEADERS can contain multiple header values and is parsed from the environment. Those values are later applied to browser requests.

متوسط

run.js:59

Node.js fs operations

return fs.readFileSync(filePath, 'utf8');

run.js reads a caller-provided file path as JavaScript for later execution. That is real filesystem access tied to the arbitrary-code executor.

متوسط

run.js:71

Node.js fs operations

return fs.readFileSync(0, 'utf8');

run.js reads JavaScript from standard input for later execution. That is real filesystem-style input access tied to the arbitrary-code executor.

متوسط

run.js:205

Node.js fs operations

fs.writeFileSync(tempFile, code, 'utf8');

run.js writes generated JavaScript to a temp file inside the skill directory before executing it. This is real local file creation of executable code.

متوسط

run.js:59

Synchronous file operations

return fs.readFileSync(filePath, 'utf8');

run.js synchronously reads a caller-provided script before execution. The synchronous API is secondary, but the filesystem access is real.

متوسط

run.js:71

Synchronous file operations

return fs.readFileSync(0, 'utf8');

run.js synchronously reads code from standard input before execution. The read feeds the arbitrary-code execution path.

متوسط

run.js:205

Synchronous file operations

fs.writeFileSync(tempFile, code, 'utf8');

run.js synchronously writes generated code to a JavaScript file that it then executes. This confirms filesystem write risk.

منخفض

lib/helpers.js:391

HTTP/HTTPS request

const req = http.request({

detectDevServers sends HEAD requests to localhost on common development ports. This is intentional local probing, but it is real network behavior.

منخفض

lib/helpers.js:391

HTTP client library

const req = http.request({

detectDevServers uses Node http.request to probe local ports. The target is localhost only, so the confirmed risk is limited.

منخفض

lib/helpers.js:399

Hardcoded URL

detectedServers.push(`http://localhost:${port}`);

The helper constructs localhost URLs for detected services. This is not external exfiltration, but it is real local network discovery output.

منخفض

run.js:56

Node.js fs stat operations

if (args.length > 0 && fs.existsSync(args[0])) {

run.js accepts a caller-provided file path and checks whether it exists before execution. This is a real filesystem touch, though the risk is limited.

عوامل الخطر

⚙️ الأوامر الخارجية (90)

API_REFERENCE.md:502-503 API_REFERENCE.md:530-538 API_REFERENCE.md:602-603 lib/helpers.js:54 lib/helpers.js:134 lib/helpers.js:137 lib/helpers.js:187 lib/helpers.js:195 lib/helpers.js:271 lib/helpers.js:334 lib/helpers.js:399 lib/helpers.js:400 run.js:15 run.js:38 run.js:39 run.js:58 run.js:121-156 run.js:161-173 run.js:201 SKILL.md:7 SKILL.md:11 SKILL.md:12 SKILL.md:13 SKILL.md:23-25 SKILL.md:25-31 SKILL.md:31-33 SKILL.md:33-41 SKILL.md:41-42 SKILL.md:42-48 SKILL.md:48-51 SKILL.md:51-59 SKILL.md:59-61 SKILL.md:61-65 SKILL.md:65-84 SKILL.md:84-88 SKILL.md:88-90 SKILL.md:90-96 SKILL.md:96-118 SKILL.md:118-122 SKILL.md:122-132 SKILL.md:132-144 SKILL.md:144-148 SKILL.md:148-158 SKILL.md:158-171 SKILL.md:171-175 SKILL.md:175-201 SKILL.md:201-202 SKILL.md:202-206 SKILL.md:206-210 SKILL.md:210-235 SKILL.md:235-239 SKILL.md:239-257 SKILL.md:257-269 SKILL.md:269-277 SKILL.md:277-283 SKILL.md:283-293 SKILL.md:293-302 SKILL.md:302-304 SKILL.md:304-325 SKILL.md:325-327 SKILL.md:327-341 SKILL.md:341-344 SKILL.md:344-348 SKILL.md:348-351 SKILL.md:351-355 SKILL.md:355-357 SKILL.md:357-361 SKILL.md:361-363 SKILL.md:363-365 SKILL.md:365-369 SKILL.md:369-386 SKILL.md:386-387 SKILL.md:387 SKILL.md:388-389 SKILL.md:389-390 SKILL.md:390-391 SKILL.md:391-392 SKILL.md:392-393 SKILL.md:393 SKILL.md:395-401 SKILL.md:401-403 SKILL.md:403-406 SKILL.md:406-409 SKILL.md:409-412 SKILL.md:412-416 SKILL.md:416-427 SKILL.md:427-429 SKILL.md:429-444 SKILL.md:444-451 SKILL.md:451-452

🌐 الوصول إلى الشبكة (21)

📁 الوصول إلى نظام الملفات (43)

🔑 متغيرات البيئة (18)

API_REFERENCE.md:53 API_REFERENCE.md:54 API_REFERENCE.md:55 API_REFERENCE.md:72 API_REFERENCE.md:53 API_REFERENCE.md:54 API_REFERENCE.md:55 API_REFERENCE.md:72 lib/helpers.js:15 lib/helpers.js:16 lib/helpers.js:22 lib/helpers.js:45 lib/helpers.js:46 lib/helpers.js:15 lib/helpers.js:16 lib/helpers.js:22 lib/helpers.js:45 lib/helpers.js:46

⚡ يحتوي على سكربتات (3)

lib/helpers.js:174 run.js:110 run.js:209

الأنماط المكتشفة

UID/GID manipulationSystem reconnaissance

دقّقه: codex عرض سجل التدقيق →

شارك واستشهد بهذا التقرير

شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.

فتح التقرير المرتبط بالإصدار

نسخ رابط التقرير

https://skillstore.io/skills/sickn33-playwright-skill/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

شارة Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/sickn33-playwright-skill/security.svg)](https://skillstore.io/skills/sickn33-playwright-skill?utm_source=security_passport_badge)

شارة HTML

<a href="https://skillstore.io/skills/sickn33-playwright-skill?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-playwright-skill/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

بطاقة قابلة للتضمين

<iframe src="https://skillstore.io/embed/skills/sickn33-playwright-skill.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

الاستشهادات الأكاديمية (APA · BibTeX · CFF)

اقتباس APA

sickn33. (2026). playwright-skill security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-playwright-skill/audits/4

اقتباس BibTeX

@techreport{sickn33-sickn33-playwright-skill-2026,
  author = {sickn33},
  title = {playwright-skill security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/sickn33-playwright-skill/audits/4},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "playwright-skill security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
  - name: "sickn33"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/sickn33-playwright-skill/audits/4"
identifiers:
  - type: other
    value: "skillstore:sickn33-playwright-skill:audit:4"
    description: "Skillstore immutable audit report identifier"

مقارنة المتغيرات

2 متغيرات قابلة للتثبيت

تبقى مهارة كل مؤلف عنصراً مستقلاً قابلاً للتثبيت. يُرتب المتغير الموصى به وفق أدلة Skillstore.

سبب تصدر هذا المتغير

استخدام أعلى في Skillstore

المؤلف / المصدر تقييم Skillstore موثوقية الأدلة استخدام Skillstore تم التحديث

sickn33 موصى به الحالي

sickn33-playwright-skill

تقييم Skillstore 38

موثوقية الأدلة متوسط

استخدام Skillstore 27

تم التحديث

2026-09-09

lackeyjb

lackeyjb-playwright-skill

تقييم Skillstore 38

موثوقية الأدلة متوسط

استخدام Skillstore 17

تم التحديث

2026-09-09

تقييم Skillstore

سبب هذا التقييم موثوقية الأدلة: متوسط

الهندسة المعمارية

قابلية الصيانة

المحتوى

المجتمع

الامتثال للمواصفات

ما الذي يمكنك بناؤه

فحص تطبيق ويب محلي

اكتشف خادم تطوير قيد التشغيل، وافتح التطبيق، والتقط لقطات شاشة، وأبلغ عن مشكلات التخطيط المرئية.

التحقق من سير عمل المستخدم

نفذ تسجيل الدخول وإرسال النماذج والتنقل وتدفقات إعادة التوجيه باستخدام أتمتة Playwright مركزة.

فحص السلوك المتجاوب

قارن عروض سطح المكتب والكمبيوتر اللوحي والجوال، ولخص الانحدارات المرئية من لقطات الشاشة المحفوظة.

جرّب هذه الموجّهات

اختبار صفحة محلية

اعثر على خادم التطوير قيد التشغيل لدي واختبر الصفحة الرئيسية في متصفح مرئي. التقط لقطة شاشة وأبلغ عن مشكلات التخطيط المرئية.

التحقق من تدفق نموذج

استخدم Playwright لملء نموذج الاتصال وإرساله، ثم أبلغ عن رسائل التحقق وحالات النجاح. اسأل قبل استخدام بيانات اعتماد حقيقية.

مقارنة العروض المتجاوبة

شغل فحص استجابة عبر عروض سطح المكتب والكمبيوتر اللوحي والجوال. احفظ لقطات الشاشة ولخص انحدارات التخطيط مع مسارات الملفات.

بناء سكربت مركز

أنشئ سكربت Playwright لـ [workflow] مقابل [URL]. اجعل URL قابلا للتهيئة واشرح الطلبات الخارجية قبل تشغيله.

أفضل الممارسات

راجع السكربتات المولدة قبل التنفيذ عندما تتضمن بيانات اعتماد أو عمليات رفع أو نطاقات خارجية.
استخدم أهداف localhost أو بيئات staging ما لم يوافق المستخدم صراحة على اختبار الإنتاج.
اجعل عناوين URL والأسرار قابلة للتهيئة ومحدودة بنطاق الأصل المختبر.