📦

shareone

Name: shareone
Author: sudoprivacy

v1.2.10 مراجعة المحتوى r2 حرج ⚙️ الأوامر الخارجية🌐 الوصول إلى الشبكة📁 الوصول إلى نظام الملفات🔑 متغيرات البيئة⚡ يحتوي على سكربتات

نشر الملفات والروابط باستخدام ShareOne

غالبا ما تتطلب مشاركة الملفات التي تم إنشاؤها خطوات رفع يدوية وإدارة للروابط. تنشر هذه المهارة الملفات إلى ShareOne وتساعد في إدارة الروابط وكلمات المرور والعلامات المائية والتنزيلات والتعليقات.

يدعم: Claude Codex Code(CC)

⚠️ 38 ضعيف

هذه المهارة جزء من حزمة

ثبّت الحزمة كاملة للحصول على كل المهارات التي تحتاجها المهمة بأمر واحد.

ناشر ملفات ShareOne · 1 مهارات ثبّت الحزمة كاملة

لا تثبّت هذا Skill تلقائيًا.

تتطلب السياسة المعتمدة مراجعة المشغّل قبل أي إجراء تثبيت.

التثبيت باستخدام Agent لدي

انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.

طلب الوكيل

Review the Skillstore skill "shareone" from https://skillstore.io/skills/sudoprivacy-shareone.md and its manifest at https://skillstore.io/api/skills/sudoprivacy-shareone/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.

موارد مهيّأة لـ Agents

استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.

تفاصيل Markdown GET /skills/sudoprivacy-shareone.md manifest موقَّع GET /api/skills/sudoprivacy-shareone/manifest lockfile موقَّع GET /api/skills/sudoprivacy-shareone/lockfile

اختبرها

جارٍ استخدام "shareone". انشر أحدث ملف HTML للوحة المعلومات وأضف علامة مائية.

النتيجة المتوقعة:

تؤكد المهارة أن النشر مسموح به، وترفع الصفحة، ثم تعيد رابط ShareOne والرابط الاحتياطي عند توفره وحالة العلامة المائية.

جارٍ استخدام "shareone". نزّل ملف ShareOne هذا ولخصه.

النتيجة المتوقعة:

تنزل المهارة الملف المسموح به، وتحفظه محليا، وتحدد نوع المحتوى، وتقدم ملخصا موجزا.

جارٍ استخدام "shareone". حل التعليقات على صفحة مشتركة موجودة.

النتيجة المتوقعة:

تعرض المهارة التعليقات غير المحلولة، وتضع العناصر المحددة قيد التنفيذ، وتحدث الصفحة، وترد بالتغييرات التي تم إجراؤها، وتغلق التعليقات المحلولة.

التدقيق الأمني

حرج

v6 • ١٧‏/٨‏/٢٠٢٦ فتح التقرير المرتبط بالإصدار

The audit confirmed remote pipe-to-shell execution, unsafe filename insertion into HTML, transcript exposure of guest keys, and authenticated requests to caller-selected origins. Most scanner matches are false positives from documentation, JavaScript template literals, loopback tests, and expected CLI file or network operations. No prompt injection or obfuscated payload evidence was found. Static review was capped at 400/531 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

الملفات التي تم فحصها

4,419

الأسطر التي تم تحليلها

عناصر المراجعة

تم تجاهل الإيجابيات الكاذبة

مخاوف أمنية مؤكدة (9)

حرج

.github/workflows/publish-skillhub.yml:45

Pipe to shell pattern

curl -fsSL https://skillhub.cn/install/install.sh | bash -s -- --cli-only

The workflow downloads an unpinned remote installer and immediately pipes it to Bash, allowing upstream compromise to execute arbitrary code.

مرتفع

scripts/manage_collaborators.js:42

Environment file access

process.env.SHAREONE_BASE_URL = explicitBaseUrl;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/manage_collaborators.js:92

Environment file access

process.env.SHAREONE_BASE_URL = `${parsed.protocol}//${parsed.host}`;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/shareone_client.js:27

Environment file access

return process.env.SHAREONE_BASE_URL || DEFAULT_BASE_URL;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/shareone_upload.js:198

Environment file access

process.env.SHAREONE_BASE_URL = nextValue(i, args[i]);

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/update_share_settings.js:48

Environment file access

process.env.SHAREONE_BASE_URL = explicitBaseUrl;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/update_share_settings.js:96

Environment file access

process.env.SHAREONE_BASE_URL = host === 'shareone.vip' || host.endsWith('.shareone.vip')

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/upload_page.js:53

Environment file access

process.env.SHAREONE_BASE_URL = nextValue(i, args[i]);

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

عرض جميع النتائج المؤكدة البالغة 9

مرتفع

scripts/manage_collaborators.js:89-93 scripts/update_share_settings.js:92-99 scripts/upload_page.js:52-53 scripts/shareone_client.js:415-418

Authenticated Requests Can Target Arbitrary Origins

Full share URLs and --base-url can select an arbitrary API origin. Direct mode then attaches the ShareOne API key to requests sent there.

The origin is derived from caller input, while direct authenticated requests add X-API-Key without an origin allowlist or HTTPS requirement.

عناصر مراجعة القدرات (23)

هذه قدرات محلية حقيقية قد يُتوقع وجودها لهذه المهارة، لذا فهي تتطلب مراجعة ولكن لا تُحتسب كسلوك خبيث مؤكد.

حرج

.github/workflows/publish-skillhub.yml:45

Hardcoded URL

curl -fsSL https://skillhub.cn/install/install.sh | bash -s -- --cli-only

This URL supplies the unpinned installer executed through Bash on the same line, creating a direct remote code execution supply-chain risk.

مرتفع

scripts/create_guest_key.js:29

Generic API/secret keys

console.log(`GUEST_KEY_CREATED:${result.api_key}`);

This outputs or requires relaying a newly issued API key through the agent transcript, exposing a bearer credential to logs and conversation retention.

مرتفع

scripts/create_guest_key.js:40

Generic API/secret keys

console.log(`GUEST_KEY_CREATED:${result.api_key}`);

This outputs or requires relaying a newly issued API key through the agent transcript, exposing a bearer credential to logs and conversation retention.

مرتفع

scripts/ensure_credentials.js:165

Generic API/secret keys

console.log(`GUEST_KEY_CREATED:${result.api_key}`);

This outputs or requires relaying a newly issued API key through the agent transcript, exposing a bearer credential to logs and conversation retention.

مرتفع

scripts/ensure_credentials.js:168

Generic API/secret keys

console.log(guestKeyNotification(result.api_key));

This outputs or requires relaying a newly issued API key through the agent transcript, exposing a bearer credential to logs and conversation retention.

مرتفع

SKILL.md:126

Generic API/secret keys

- 如果 `ensure_credentials.js --create-guest` 或底层 `create_guest_key.js` 输出 `GUEST_KEY_CREATED:<api_key

This outputs or requires relaying a newly issued API key through the agent transcript, exposing a bearer credential to logs and conversation retention.

مرتفع

workflows/environment-and-credentials.md:34

Generic API/secret keys

- `GUEST_KEY_CREATED:<api_key>`:**阻塞性用户通知**。分隔线之后是需要原样转发给用户的完整通知文本(含临时 API Key、绑定账号链接和保存提醒)。必须先把该通知发

This outputs or requires relaying a newly issued API key through the agent transcript, exposing a bearer credential to logs and conversation retention.

مرتفع

templates/page-storage-dropzone.html:65

innerHTML assignment (XSS risk)

chip.innerHTML = '<span class="name">📄 ' + file.name + '</span><span class="meta">' + human(file.si

A local filename is concatenated into innerHTML without escaping, so a crafted filename can inject executable markup into the published page.

مرتفع

scripts/manage_collaborators.js:42

Environment variable access (dot notation)

process.env.SHAREONE_BASE_URL = explicitBaseUrl;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/manage_collaborators.js:92

Environment variable access (dot notation)

process.env.SHAREONE_BASE_URL = `${parsed.protocol}//${parsed.host}`;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/shareone_client.js:27

Environment variable access (dot notation)

return process.env.SHAREONE_BASE_URL || DEFAULT_BASE_URL;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/shareone_upload.js:198

Environment variable access (dot notation)

process.env.SHAREONE_BASE_URL = nextValue(i, args[i]);

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/update_share_settings.js:48

Environment variable access (dot notation)

process.env.SHAREONE_BASE_URL = explicitBaseUrl;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/update_share_settings.js:96

Environment variable access (dot notation)

process.env.SHAREONE_BASE_URL = host === 'shareone.vip' || host.endsWith('.shareone.vip')

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/upload_page.js:53

Environment variable access (dot notation)

process.env.SHAREONE_BASE_URL = nextValue(i, args[i]);

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/manage_collaborators.js:42

Environment variable object

process.env.SHAREONE_BASE_URL = explicitBaseUrl;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/manage_collaborators.js:92

Environment variable object

process.env.SHAREONE_BASE_URL = `${parsed.protocol}//${parsed.host}`;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/shareone_client.js:27

Environment variable object

return process.env.SHAREONE_BASE_URL || DEFAULT_BASE_URL;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/shareone_upload.js:198

Environment variable object

process.env.SHAREONE_BASE_URL = nextValue(i, args[i]);

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/update_share_settings.js:48

Environment variable object

process.env.SHAREONE_BASE_URL = explicitBaseUrl;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/update_share_settings.js:96

Environment variable object

process.env.SHAREONE_BASE_URL = host === 'shareone.vip' || host.endsWith('.shareone.vip')

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

مرتفع

scripts/upload_page.js:53

Environment variable object

process.env.SHAREONE_BASE_URL = nextValue(i, args[i]);

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

متوسط

workflows/publish-text-page.md:127

Hardcoded URL

import mermaid from 'https://cdn.jsdelivr.net/npm/mermaid@11/dist/mermaid.esm.min.mjs';

The generated page imports a floating major-version script from a CDN without integrity verification, exposing published pages to dependency compromise.

عوامل الخطر

⚙️ الأوامر الخارجية (50)

🌐 الوصول إلى الشبكة (50)

📁 الوصول إلى نظام الملفات (50)

🔑 متغيرات البيئة (50)

scripts/check_api_key.js:24 scripts/check_api_key.js:24 scripts/check_api_key.js:16 scripts/check_api_key.js:24 scripts/comment_reply.js:85 scripts/comment_resolve.js:71 scripts/create_guest_key.js:23 scripts/create_guest_key.js:26 scripts/create_guest_key.js:28 scripts/create_guest_key.js:29 scripts/create_guest_key.js:38 scripts/create_guest_key.js:40 scripts/delete_api_key.js:13 scripts/delete_share.js:48 scripts/download_share.js:165 scripts/ensure_credentials.js:33 scripts/ensure_credentials.js:33 scripts/ensure_credentials.js:33 scripts/ensure_credentials.js:142 scripts/ensure_credentials.js:150 scripts/ensure_credentials.js:157 scripts/ensure_credentials.js:161 scripts/ensure_credentials.js:165 scripts/ensure_credentials.js:168 scripts/manage_collaborators.js:42 scripts/manage_collaborators.js:92 scripts/manage_collaborators.js:42 scripts/manage_collaborators.js:92 scripts/manage_collaborators.js:114 scripts/proxy_support.test.cjs:49 scripts/proxy_support.test.cjs:52 scripts/proxy_support.test.cjs:59 scripts/proxy_support.test.cjs:67 scripts/proxy_support.test.cjs:68 scripts/proxy_support.test.cjs:74 scripts/proxy_support.test.cjs:82 scripts/proxy_support.test.cjs:49 scripts/proxy_support.test.cjs:52 scripts/proxy_support.test.cjs:59 scripts/proxy_support.test.cjs:67 scripts/proxy_support.test.cjs:68 scripts/proxy_support.test.cjs:74 scripts/proxy_support.test.cjs:82 scripts/refresh_share.js:50 scripts/save_api_key.js:14 scripts/save_api_key.js:16 scripts/shareone_api_request.js:93 scripts/shareone_client.js:19 scripts/shareone_client.js:23 scripts/shareone_client.js:27

⚡ يحتوي على سكربتات (4)

scripts/download_share.js:108 scripts/download_share.js:116 templates/client-side-inference.html:92 templates/page-storage-dropzone.html:65

الأنماط المكتشفة

Pipe to shell pattern

دقّقه: codex عرض سجل التدقيق →

شارك واستشهد بهذا التقرير

شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.

فتح التقرير المرتبط بالإصدار

نسخ رابط التقرير

https://skillstore.io/skills/sudoprivacy-shareone/audits/6?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

شارة Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/sudoprivacy-shareone/security.svg)](https://skillstore.io/skills/sudoprivacy-shareone?utm_source=security_passport_badge)

شارة HTML

<a href="https://skillstore.io/skills/sudoprivacy-shareone?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sudoprivacy-shareone/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

بطاقة قابلة للتضمين

<iframe src="https://skillstore.io/embed/skills/sudoprivacy-shareone.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

الاستشهادات الأكاديمية (APA · BibTeX · CFF)

اقتباس APA

sudoprivacy. (2026). shareone security audit report (audit version 6) [Author version 1.2.10]. Skillstore. https://skillstore.io/skills/sudoprivacy-shareone/audits/6

اقتباس BibTeX

@techreport{sudoprivacy-sudoprivacy-shareone-2026,
  author = {sudoprivacy},
  title = {shareone security audit report (audit version 6)},
  institution = {Skillstore},
  year = {2026},
  number = {6},
  url = {https://skillstore.io/skills/sudoprivacy-shareone/audits/6},
  note = {Author version 1.2.10}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "shareone security audit report (audit version 6)"
version: "1.2.10"
type: report
authors:
  - name: "sudoprivacy"
date-released: "2026-08-17"
url: "https://skillstore.io/skills/sudoprivacy-shareone/audits/6"
identifiers:
  - type: other
    value: "skillstore:sudoprivacy-shareone:audit:6"
    description: "Skillstore immutable audit report identifier"

تقييم Skillstore

سبب هذا التقييم موثوقية الأدلة: متوسط

الهندسة المعمارية

100

قابلية الصيانة

المحتوى

المجتمع

الامتثال للمواصفات

ما الذي يمكنك بناؤه

نشر صفحة تم إنشاؤها

حوّل ملف HTML أو Markdown أو نصا محليا إلى رابط ShareOne للمراجعة.

مشاركة مستند محمي

ارفع ملف PDF أو عرضا تقديميا أو ملف Word مع إعدادات كلمة مرور أو علامة مائية اختيارية.

إغلاق تعليقات المراجعة

اجلب تعليقات ShareOne، وحدّث صفحة المصدر، ورد عليها، وعلّم التعليقات كمحلولة.

جرّب هذه الموجّهات

نشر صفحة

انشر ./index.html إلى ShareOne وأعد رابط المشاركة بعد أن أؤكد مطالبة أمان النشر.

مشاركة مستند

ارفع ./proposal.pdf إلى ShareOne بكلمة المرور 2468 والعلامة المائية Internal Review.

تحديث إعدادات الرابط

حدّث رابط ShareOne هذا لتمكين التعليقات وتعيين slug المخصص product-demo: https://shareone.app/s/example.

معالجة تعليقات المراجعة

اجلب التعليقات غير المحلولة من رابط ShareOne هذا، وطبق تغييرات الصفحة المطلوبة، وأعد النشر، ورد على كل تعليق، ثم حل العناصر المكتملة.

أفضل الممارسات

راجع المحتوى واحصل على موافقة صريحة من المستخدم قبل أي رفع عام.
استخدم كلمات المرور والعلامات المائية للمشاركات الحساسة أو المخصصة لجمهور محدود.
استخدم فقط روابط ShareOne الموثوقة وإعدادات عنوان URL الأساسي الموثوقة للـ API.