هذا التقرير غير مترجم إلى اللغة المطلوبة. يتم عرض التقرير الإنجليزي الأساسي بدلاً منه.
تقييم أمني مُحدَّث بالإصدار
معرّف التقرير: SA-36E07D5E
7/7/2026, 7:41:32 AM
background-remover تقييم أمني v6
تقرير شهادة أمان المهارة
نموذج التدقيق: codex أحدث تقرير منشور
- اسم المهارة
- background-remover
- الإصدار
- v1.0.1
- المشرف
- verging.ai
- التغطية
- 1 الملفات التي تم فحصها · 239 الأسطر التي تم تحليلها
- إصدار السياسة
- غير متاح
أعلى مستوى خطورة لنتيجة مؤكدة
مرتفع
يتطلب 1 اكتشاف أمني مؤكد اهتمامًا.
سياق التثبيت
تحقق من صفحة المهارة الحالية
تلخص هذه الصفحة أدلة التقرير فقط. توفر صفحة المهارة إرشادات التثبيت المعتمدة.
افتح صفحة Skill الحاليةلا يحظر هذا التقرير البيان أو ملف ZIP ولا يصرح بهما.
The skill is a documented client for the verging.ai background removal service and intentionally performs authenticated network uploads of user images. Most markdown backtick findings are false positives, but the curl workflow, external API calls, API key handling, temporary files, and public result URLs are real security and privacy risks.
موضع التقرير
أحدث تقرير منشور
يشير «الأحدث» إلى تسلسل التقرير، وليس إلى حداثة العنصر.
إقرار التدقيق
غير قابل للتصديق
الربط الثابت المطلوب غير مكتمل.
التحقق البشري
لم يتم التحقق منه
لم يتم تسجيل أي تحقق بشري لهذا التقرير.
التغطية
1 الملفات التي تم فحصها · 239 الأسطر التي تم تحليلها
28 عناصر معروضة للمراجعة
القيود
لا يدّعي هذا التقرير تنفيذًا في وقت التشغيل أو ضمن بيئة معزولة، ولا يثبت عدم وجود آثار جانبية.
سلسلة الأدلة
اتبع الأدلة من ربط المصدر إلى عقد التثبيت. تدعم الأدلة المتاحة التحقق؛ لكنها ليست ضمانًا للسلامة.
المصدر
الالتزام والمسار مرتبطان
العنصر البرمجي
تم ربط تجزئات المحتوى والشجرة.
التدقيق
مكتمل
القدرات المرصودة
تعني «تمت ملاحظته» أن هذا التقرير سجل أدلة داعمة. ولا يثبت عدم التسجيل أن القدرة غير موجودة.
يحتوي على سكربتات
قد ينفذ تعليمات برمجية مضمنة مع المهارة.
لم يتم تسجيله بواسطة هذا التدقيق
الوصول إلى الشبكة
قد يتصل بخدمات خارجية.
تمت ملاحظته في 14 مواضع أدلة
الوصول إلى نظام الملفات
قد يقرأ أو يكتب ملفات محلية.
تمت ملاحظته في موضع دليل واحد 1
متغيرات البيئة
قد يقرأ قيماً من بيئة العملية.
تمت ملاحظته في 13 مواضع أدلة
الأوامر الخارجية
قد يستدعي أوامر أو برامج خارج المهارة.
تمت ملاحظته في 19 مواضع أدلة
عناصر مراجعة القدرات (27)
مرتفع
Generic API/secret keys
- VERGING_API_KEY
The skill requires a verging.ai API key and uses it for authenticated API requests. This is intended behavior, but it is real handling of sensitive credentials.
مرتفع
Generic API/secret keys
primaryEnv: VERGING_API_KEY
The skill requires a verging.ai API key and uses it for authenticated API requests. This is intended behavior, but it is real handling of sensitive credentials.
مرتفع
Generic API/secret keys
| --api-key | -k | Your API Key | VERGING_API_KEY env |
The skill requires a verging.ai API key and uses it for authenticated API requests. This is intended behavior, but it is real handling of sensitive credentials.
مرتفع
Generic API/secret keys
| VERGING_API_KEY | Your API Key |
The skill requires a verging.ai API key and uses it for authenticated API requests. This is intended behavior, but it is real handling of sensitive credentials.
مرتفع
Generic API/secret keys
Authorization: ApiKey <your_api_key>
The skill requires a verging.ai API key and uses it for authenticated API requests. This is intended behavior, but it is real handling of sensitive credentials.
مرتفع
Generic API/secret keys
curl -H "Authorization: ApiKey $VERGING_API_KEY" \
The skill requires a verging.ai API key and uses it for authenticated API requests. This is intended behavior, but it is real handling of sensitive credentials.
مرتفع
Generic API/secret keys
curl -X POST -H "Authorization: ApiKey $VERGING_API_KEY" \
The skill requires a verging.ai API key and uses it for authenticated API requests. This is intended behavior, but it is real handling of sensitive credentials.
مرتفع
Generic API/secret keys
curl -X POST -H "Authorization: ApiKey $VERGING_API_KEY" \
The skill requires a verging.ai API key and uses it for authenticated API requests. This is intended behavior, but it is real handling of sensitive credentials.
مرتفع
Generic API/secret keys
curl -H "Authorization: ApiKey $VERGING_API_KEY" \
The skill requires a verging.ai API key and uses it for authenticated API requests. This is intended behavior, but it is real handling of sensitive credentials.
مرتفع
Generic API/secret keys
curl -H "Authorization: ApiKey $VERGING_API_KEY" \
The skill requires a verging.ai API key and uses it for authenticated API requests. This is intended behavior, but it is real handling of sensitive credentials.
مرتفع
Generic API/secret keys
- Replace `$VERGING_API_KEY` with your actual API key or set it as an environment variable
The skill requires a verging.ai API key and uses it for authenticated API requests. This is intended behavior, but it is real handling of sensitive credentials.
مرتفع
Generic API/secret keys
- API Key can be passed via --api-key parameter or read from environment variable VERGING_API_KEY
The skill requires a verging.ai API key and uses it for authenticated API requests. This is intended behavior, but it is real handling of sensitive credentials.
مرتفع
Generic API/secret keys
- Set it via environment variable: `export VERGING_API_KEY="your_key"`
The skill requires a verging.ai API key and uses it for authenticated API requests. This is intended behavior, but it is real handling of sensitive credentials.
متوسط
Ruby/shell backtick execution
```bash
This block documents curl commands that send an API key and image data to external endpoints. It is documentation rather than embedded code, but the skill instructs the agent to run these external commands.
متوسط
Ruby/shell backtick execution
- Every 5 seconds call `/api/v1/background-removal/jobs?job_ids=xxx` to query status
This range includes the documented workflow to poll remote job URLs and use curl to download the result. The static trigger is a markdown backtick, but the surrounding instructions require external command execution.
متوسط
Hardcoded URL
https://verging.ai/api/v1/upload-video
The documented upload-video endpoint starts the upload flow for user images. This creates external transfer of user-provided files.
متوسط
Hardcoded URL
# "url": "https://...r2.cloudflarestorage.com/...jpg?X-Amz-...",
The example response contains a presigned Cloudflare R2 upload URL. It indicates that image content is transferred to external object storage.
متوسط
Hardcoded URL
# "public_url": "https://img.panpan8.com/background-removal/2026-03-11/xxx.jpg"
The example public_url uses an external image delivery domain. This is a real privacy consideration because processed image results are exposed by URL.
متوسط
Hardcoded URL
"https://...presigned-url-from-step-1..."
The documented curl PUT sends the local image to a presigned external URL. Even though the URL is a placeholder, the workflow is an external upload.
متوسط
Hardcoded URL
https://verging.ai/api/v1/background-removal/create-job
The documented create-job call sends image metadata and job data to verging.ai. This is a core outbound network action.
متوسط
Hardcoded URL
- For remote image URLs (https://example.com/image.jpg), use curl to download
The skill instructs the agent to download remote image URLs with curl. User-supplied URL downloads can contact arbitrary hosts and should be constrained.
متوسط
Hardcoded URL
User: /background-removal -i https://example.com/photo.jpg
The example demonstrates processing a remote image URL. This confirms the skill may fetch user-provided network resources.
متوسط
Temp directory access
- **Temporary files:** Local temporary files are stored in `/tmp/verging-bg-removal/` and cleaned up
The skill documents storing temporary files under /tmp/verging-bg-removal. A fixed temp directory can expose image data or collide across runs if permissions and cleanup are weak.
منخفض
Hardcoded URL
| VERGING_API_URL | API base URL (default: https://verging.ai/api/v1) |
The skill defines https://verging.ai/api/v1 as the default outbound API base URL. This is expected for the service, but it is real network access.
منخفض
Hardcoded URL
https://verging.ai/api/v1/auth/me
The documented curl command calls the verging.ai auth endpoint with the API key. This is real authenticated network access.
منخفض
Hardcoded URL
"https://verging.ai/api/v1/background-removal/jobs?job_ids=123"
The documented job-status request polls an external API endpoint. This is expected behavior, but it is real network access.
منخفض
Hardcoded URL
https://verging.ai/api/v1/background-removal/jobs
The documented jobs endpoint lists remote processing jobs through the external API. This confirms ongoing network dependency.
نتائج المخاطر
يتم فصل المخاوف الأمنية المؤكدة عن العناصر التي لا تزال بحاجة إلى مراجعة.
مخاوف أمنية مؤكدة (1)
RISK-001 مرتفع
External Image Upload and Public Result Exposure
The skill instructs agents to upload images to verging.ai storage for processing and return processed images through a public URL. Users may expose private photos if they are not warned before upload or if result URLs are shared.
The processing flow explicitly uploads images to external storage and the privacy section states that result images are returned via a public URL.
إجراءات المعالجة
سجّل هذا التدقيق الإصلاحات المقترحة. تطبيقها مسؤولية المشرف على الصيانة.
- FIX-001مرتفعAPI key exposure riskPrefer environment variables or a secret manager, discourage command-line API keys, and never print Authorization headers in logs or examples.
- FIX-002مرتفعExternal image transfer and public result URLsWarn users before uploading sensitive images, document retention and access controls, and use expiring private result URLs where possible.
- FIX-003متوسطUnconstrained curl workflowValidate URL schemes and hosts, quote all local paths, and restrict downloads to http or https resources requested by the user.
- FIX-004متوسطTemporary file handlingUse a unique per-run temporary directory with restrictive permissions and clean it up on success, failure, and cancellation.
أدلة الخبراء
هوية موضوع غير قابلة للتغيير، وبيانات تعريف الماسح الضوئي، والمطابقات المستبعدة، والأدلة على مستوى المصدر.
موضوع العنصر البرمجي
- التزام Marketplace
- 36e07d5e13068e5be64447e8f20b427cf2cbd21a
- تجزئة المحتوى
- 5e3fdafca1ee32db241132279a3caee4ad4d70a03be5a014dd80fa2eeb2cccae
- تجزئة الشجرة
- b90aa7ceec9dd47dd105f461e6e63ebfcb31bd7770ed4023a27968a15528fef6
- مسار Skill
- skills/verging-ai/background-remover
- تجزئة حمولة التدقيق
- 3c4a836a9f3f1bce23b96b2cd349e2ac
البيانات الوصفية للتحليل
نموذج التدقيق: codex
حالة التحليل: مكتمل
النطاق محدود بالملفات والأسطر والأساليب والأدلة المسجلة. لا يُدّعى تنفيذ وقت التشغيل أو بيئة الاختبار المعزولة.
التحقق والتصدير
يربط البيان وملف القفل عناصر التثبيت بتجزئات تشفيرية. هذا الادعاء المتعلق بالسلامة منفصل عن التقييم الأمني.
إقرار التدقيق: not_attestable