📦

media-downloader

Name: media-downloader
Author: yizhiyanhua-ai

مراجعة المحتوى r1 مخاطر عالية ⚙️ الأوامر الخارجية🌐 الوصول إلى الشبكة📁 الوصول إلى نظام الملفات🔑 متغيرات البيئة

تنزيل أصول الوسائط وقصها

يستغرق العثور على صور ومقاطع قابلة للاستخدام عبر مصادر الوسائط وقتًا ويتطلب تنظيفًا يدويًا. تبحث هذه المهارة في المزوّدين المعتمدين، وتنزّل الأصول، وتقص مقاطع الفيديو ضمن سير عمل واحد.

يدعم: Claude Codex Code(CC)

⚠️ 38 ضعيف

توقف واطلب التأكيد قبل التثبيت.

راجع الخطة واحصل على موافقة صريحة من المستخدم قبل تغيير الملفات.

التثبيت باستخدام Agent لدي

انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.

طلب الوكيل

Review the Skillstore skill "media-downloader" from https://skillstore.io/skills/yizhiyanhua-ai-media-downloader.md and its manifest at https://skillstore.io/api/skills/yizhiyanhua-ai-media-downloader/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.

موارد مهيّأة لـ Agents

استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.

تفاصيل Markdown GET /skills/yizhiyanhua-ai-media-downloader.md manifest موقَّع GET /api/skills/yizhiyanhua-ai-media-downloader/manifest lockfile موقَّع GET /api/skills/yizhiyanhua-ai-media-downloader/lockfile

اختبرها

جارٍ استخدام "media-downloader". نزّل 5 صور قطط.

النتيجة المتوقعة:

تبحث المهارة في مزوّدي الصور المكوّنين، وتنزّل الصور المطابقة، وتبلّغ عن مسار المجلد المحفوظ.

جارٍ استخدام "media-downloader". نزّل فيديو لمدينة ليلية مدته 30 ثانية.

النتيجة المتوقعة:

تعثر المهارة على نتائج فيديو مخزنية، وتنزّل مقطعًا مطابقًا، وتقصه إذا لزم الأمر، وتعرض موقع الملف النهائي.

جارٍ استخدام "media-downloader". تحقق من حالة media downloader.

النتيجة المتوقعة:

تبلّغ المهارة عما إذا كانت مفاتيح API وrequests وyt-dlp وffmpeg متاحة.

التدقيق الأمني

مخاطر عالية

v5 • ٨‏/٧‏/٢٠٢٦ فتح التقرير المرتبط بالإصدار

The skill performs the advertised media search, download, and trimming workflow, but it uses external services, yt-dlp, ffmpeg, environment API keys, and local file writes. Several static alerts are documentation or placeholder false positives, while user-controlled filenames, unbounded downloads, and broad video download support remain real risks. No prompt injection attempt was found in the reviewed files.

الملفات التي تم فحصها

1,382

الأسطر التي تم تحليلها

عناصر المراجعة

تم تجاهل الإيجابيات الكاذبة

مخاوف أمنية مؤكدة (3)

مرتفع

media_cli.py:436-442 media_cli.py:481-485

Unsanitized Query Text Used In Filenames

Image and video filenames are built from the user search query without removing path separators. A crafted query could write downloaded content outside the intended output folder.

The filename is derived directly from args.query and joined with output_dir before writing downloaded bytes. The reviewed code does not normalize or constrain the final path.

متوسط

media_cli.py:139-143 media_cli.py:281-285

Unbounded Streaming Downloads To Disk

The download loops stream response bodies to disk without checking Content-Length, content type, or a maximum byte limit. Large responses can exhaust disk space.

Both image and video download functions write chunks until the server finishes. I found no size cap or MIME validation in the reviewed code paths.

متوسط

SKILL.md:132-138 media_cli.py:686-692

Unrestricted Third-Party Video Download Workflow

The skill explicitly supports downloading and extracting audio from YouTube URLs. This can enable copyright or terms-of-service abuse if used without rights checks.

The documentation advertises YouTube download and audio-only workflows, and the CLI exposes matching options. The code does not include license or authorization checks.

عناصر مراجعة القدرات (38)

هذه قدرات محلية حقيقية قد يُتوقع وجودها لهذه المهارة، لذا فهي تتطلب مراجعة ولكن لا تُحتسب كسلوك خبيث مؤكد.

مرتفع

media_cli.py:249

Python subprocess.run

result = subprocess.run(cmd, capture_output=True, text=True, timeout=30)

yt-dlp is invoked with a user-provided search query. There is no shell expansion, but an external downloader processes network content based on user input.

مرتفع

media_cli.py:316

Python subprocess.run

result = subprocess.run(cmd, capture_output=True, text=True, timeout=300)

yt-dlp is invoked with a user-provided URL and writes downloaded media locally. The command is argument-vector based, but it still gives an external downloader broad network and file effects.

مرتفع

media_cli.py:354

Python subprocess.run

result = subprocess.run(cmd, capture_output=True, text=True)

ffprobe is invoked on a user-selected media path. There is no shell injection, but external media parsers process untrusted or downloaded files.

مرتفع

media_cli.py:387

Python subprocess.run

result = subprocess.run(cmd, capture_output=True, timeout=120)

ffmpeg is invoked on user-selected input and output paths. There is no shell invocation, but transcoding untrusted media through an external binary is a real execution risk.

مرتفع

media_cli.py:32

Generic API/secret keys

PEXELS_API_KEY = os.environ.get('PEXELS_API_KEY', '')

The source references API-key environment variables rather than hardcoded secrets. It is still confirmed sensitive secret handling because those values are used for outbound API calls.

مرتفع

media_cli.py:34

Generic API/secret keys

PIXABAY_API_KEY = os.environ.get('PIXABAY_API_KEY', '')

The source references API-key environment variables rather than hardcoded secrets. It is still confirmed sensitive secret handling because those values are used for outbound API calls.

مرتفع

media_cli.py:49

Generic API/secret keys

headers = {"Authorization": PEXELS_API_KEY}

The code sends the Pexels API key in an Authorization header to the Pexels API. This is expected, but it is real use of an environment credential in a network request.

مرتفع

media_cli.py:100

Generic API/secret keys

url = f"https://pixabay.com/api/?key={PIXABAY_API_KEY}&q={quote_plus(query)}&per_page={count}&image_

The code places the Pixabay API key into a URL query parameter. Query-string secrets are more likely to leak through logs, proxies, or diagnostics.

مرتفع

media_cli.py:180

Generic API/secret keys

headers = {"Authorization": PEXELS_API_KEY}

The code sends the Pexels API key in an Authorization header to the Pexels API. This is expected, but it is real use of an environment credential in a network request.

مرتفع

media_cli.py:210

Generic API/secret keys

url = f"https://pixabay.com/api/videos/?key={PIXABAY_API_KEY}&q={quote_plus(query)}&per_page={count}

The code places the Pixabay API key into a URL query parameter. Query-string secrets are more likely to leak through logs, proxies, or diagnostics.

مرتفع

README_CN.md:130

Hidden file in home directory

~/.claude/skills/media-downloader/downloads/

The documented default stores downloaded media under a hidden Claude skills directory. Users may not notice files accumulating in this location.

مرتفع

README.md:130

Hidden file in home directory

~/.claude/skills/media-downloader/downloads/

The documented default stores downloaded media under a hidden Claude skills directory. Users may not notice files accumulating in this location.

مرتفع

SKILL.md:93

Hidden file in home directory

**macOS / Linux 用户**,编辑 `~/.zshrc` 或 `~/.bashrc`:

The documentation tells users to edit or source hidden shell startup files for API key setup. Persisting secrets there exposes them to future shells and tools.

مرتفع

SKILL.md:102

Hidden file in home directory

保存后运行 `source ~/.zshrc` 使配置生效。

The documentation tells users to edit or source hidden shell startup files for API key setup. Persisting secrets there exposes them to future shells and tools.

مرتفع

SKILL.md:147

Hidden file in home directory

~/.claude/skills/media-downloader/downloads/

The skill documents a default download directory under ~/.claude. Hidden storage for downloaded media can reduce user visibility and cleanup.

متوسط

media_cli.py:100

Hardcoded URL

url = f"https://pixabay.com/api/?key={PIXABAY_API_KEY}&q={quote_plus(query)}&per_page={count}&image_

The request targets Pixabay and includes the API key in the URL query string. Query-string credentials can be recorded in logs and network traces.

متوسط

media_cli.py:210

Hardcoded URL

url = f"https://pixabay.com/api/videos/?key={PIXABAY_API_KEY}&q={quote_plus(query)}&per_page={count}

The request targets Pixabay and includes the API key in the URL query string. Query-string credentials can be recorded in logs and network traces.

متوسط

media_cli.py:141

Python file write/append

with open(filepath, 'wb') as f:

The code writes bytes fetched from external media URLs to disk. The destination is influenced by user options and generated filenames, so this is a real filesystem risk.

متوسط

media_cli.py:283

Python file write/append

with open(filepath, 'wb') as f:

The code writes bytes fetched from external media URLs to disk. The destination is influenced by user options and generated filenames, so this is a real filesystem risk.

متوسط

media_cli.py:400

Python shutil operations

shutil.copy(input_path, output_path)

The code copies a media file to a caller-provided output path during trimming. Without containment checks, this can write to unexpected locations.

متوسط

media_cli.py:135

Python os file operations

os.makedirs(output_dir, exist_ok=True)

The code creates the selected output directory before downloading media. Because the output path can come from CLI arguments, it can create arbitrary user-writable directories.

متوسط

media_cli.py:277

Python os file operations

os.makedirs(output_dir, exist_ok=True)

The code creates the selected output directory before downloading media. Because the output path can come from CLI arguments, it can create arbitrary user-writable directories.

متوسط

media_cli.py:299

Python os file operations

os.makedirs(output_dir, exist_ok=True)

The code creates the selected output directory before downloading media. Because the output path can come from CLI arguments, it can create arbitrary user-writable directories.

متوسط

media_cli.py:494

Python os file operations

os.remove(path)

The trim flow deletes or renames files after processing. With user-controlled output paths and generated filenames, unexpected files could be affected.

متوسط

media_cli.py:495

Python os file operations

os.rename(trimmed_path, path)

The trim flow deletes or renames files after processing. With user-controlled output paths and generated filenames, unexpected files could be affected.

متوسط

media_cli.py:534

Python os file operations

os.remove(path)

The trim flow deletes or renames files after processing. With user-controlled output paths and generated filenames, unexpected files could be affected.

متوسط

media_cli.py:535

Python os file operations

os.rename(trimmed_path, path)

The trim flow deletes or renames files after processing. With user-controlled output paths and generated filenames, unexpected files could be affected.

متوسط

README_CN.md:130

Hidden file access

~/.claude/skills/media-downloader/downloads/

The documented default stores downloaded media under a hidden Claude skills directory. Users may not notice files accumulating in this location.

متوسط

README.md:130

Hidden file access

~/.claude/skills/media-downloader/downloads/

The documented default stores downloaded media under a hidden Claude skills directory. Users may not notice files accumulating in this location.

متوسط

SKILL.md:93

Hidden file access

**macOS / Linux 用户**,编辑 `~/.zshrc` 或 `~/.bashrc`:

The documentation tells users to edit or source hidden shell startup files for API key setup. Persisting secrets there exposes them to future shells and tools.

متوسط

SKILL.md:102

Hidden file access

保存后运行 `source ~/.zshrc` 使配置生效。

The documentation tells users to edit or source hidden shell startup files for API key setup. Persisting secrets there exposes them to future shells and tools.

متوسط

SKILL.md:147

Hidden file access

~/.claude/skills/media-downloader/downloads/

The skill documents a default download directory under ~/.claude. Hidden storage for downloaded media can reduce user visibility and cleanup.

منخفض

media_cli.py:48

Hardcoded URL

url = f"https://api.pexels.com/v1/search?query={quote_plus(query)}&per_page={count}"

The skill sends user search terms to a third-party media API. This is declared functionality, but it is real external network egress.

منخفض

media_cli.py:74

Hardcoded URL

url = f"https://api.unsplash.com/search/photos?query={quote_plus(query)}&per_page={count}"

The skill sends user search terms to a third-party media API. This is declared functionality, but it is real external network egress.

منخفض

media_cli.py:179

Hardcoded URL

url = f"https://api.pexels.com/videos/search?query={quote_plus(query)}&per_page={count}"

The skill sends user search terms to a third-party media API. This is declared functionality, but it is real external network egress.

منخفض

media_cli.py:32

Python environment access

PEXELS_API_KEY = os.environ.get('PEXELS_API_KEY', '')

The code reads API credentials from environment variables. This is intended configuration, but environment secret access is still sensitive.

منخفض

media_cli.py:33

Python environment access

UNSPLASH_ACCESS_KEY = os.environ.get('UNSPLASH_ACCESS_KEY', '')

The code reads API credentials from environment variables. This is intended configuration, but environment secret access is still sensitive.

منخفض

media_cli.py:34

Python environment access

PIXABAY_API_KEY = os.environ.get('PIXABAY_API_KEY', '')

The code reads API credentials from environment variables. This is intended configuration, but environment secret access is still sensitive.

عوامل الخطر

⚙️ الأوامر الخارجية (29)

🌐 الوصول إلى الشبكة (16)

media_cli.py:41 media_cli.py:154 media_cli.py:48 media_cli.py:74 media_cli.py:100 media_cli.py:179 media_cli.py:210 media_cli.py:257 README_CN.md:110 README.md:110 SKILL.md:69 SKILL.md:71 SKILL.md:77 SKILL.md:79 SKILL.md:84 SKILL.md:135

📁 الوصول إلى نظام الملفات (26)

🔑 متغيرات البيئة (24)

دقّقه: codex عرض سجل التدقيق →

شارك واستشهد بهذا التقرير

شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.

فتح التقرير المرتبط بالإصدار

نسخ رابط التقرير

https://skillstore.io/skills/yizhiyanhua-ai-media-downloader/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

شارة Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/yizhiyanhua-ai-media-downloader/security.svg)](https://skillstore.io/skills/yizhiyanhua-ai-media-downloader?utm_source=security_passport_badge)

شارة HTML

<a href="https://skillstore.io/skills/yizhiyanhua-ai-media-downloader?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/yizhiyanhua-ai-media-downloader/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

بطاقة قابلة للتضمين

<iframe src="https://skillstore.io/embed/skills/yizhiyanhua-ai-media-downloader.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

الاستشهادات الأكاديمية (APA · BibTeX · CFF)

اقتباس APA

yizhiyanhua-ai. (2026). media-downloader security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/yizhiyanhua-ai-media-downloader/audits/5

اقتباس BibTeX

@techreport{yizhiyanhua-ai-yizhiyanhua-ai-media-downloader-2026,
  author = {yizhiyanhua-ai},
  title = {media-downloader security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/yizhiyanhua-ai-media-downloader/audits/5},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "media-downloader security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
  - name: "yizhiyanhua-ai"
date-released: "2026-07-08"
url: "https://skillstore.io/skills/yizhiyanhua-ai-media-downloader/audits/5"
identifiers:
  - type: other
    value: "skillstore:yizhiyanhua-ai-media-downloader:audit:5"
    description: "Skillstore immutable audit report identifier"

تقييم Skillstore

سبب هذا التقييم موثوقية الأدلة: متوسط

الهندسة المعمارية

قابلية الصيانة

المحتوى

المجتمع

الامتثال للمواصفات

ما الذي يمكنك بناؤه

جمع صور مفاهيمية

العثور على صور مرجعية وتنزيلها للوحة تصميم أو موجز إبداعي.

إعداد مقاطع خلفية قصيرة

تنزيل مقاطع مخزنية وقصها إلى مدة ثابتة للعروض التقديمية أو منشورات التواصل الاجتماعي.

استخراج مقاطع للمراجعة

تنزيل مقطع محدد من فيديو YouTube للمراجعة الخاصة أو ملاحظات التحرير.

جرّب هذه الموجّهات

تنزيل صور أساسية

نزّل 5 صور مناظر طبيعية واحفظها في مجلد media downloader الافتراضي.

العثور على فيديو مخزني قصير

اعثر على 3 مقاطع فيديو لأمواج المحيط تقل عن 20 ثانية ونزّلها للمراجعة.

قص مقطع من YouTube

نزّل فيديو YouTube هذا من الثانية 90 إلى الثانية 120 واحفظ ذلك المقطع فقط.

إنشاء حزمة وسائط

أنشئ حزمة وسائط لمشروع تحتوي على 8 صور لمقهى و2 من مقاطع الأجواء القصيرة أقل من 15 ثانية.

أفضل الممارسات

اضبط مفاتيح API فقط في متغيرات بيئة محلية موثوقة.
استخدم مجلد إخراج مخصصًا لكل مشروع.
راجع تراخيص المزوّدين قبل نشر الوسائط التي تم تنزيلها.

تجنب

لا تنزّل وسائط من URLs لا تثق بها.
لا تستخدم فواصل المسارات أو صياغة shell في استعلامات البحث.
لا تفترض أن كل نتيجة من YouTube أو النتائج المخزنية مرخصة لاستخدامك.

الأسئلة المتكررة

هل تحتاج هذه المهارة إلى مفاتيح API؟

نعم، بالنسبة إلى البحث عن الصور ومقاطع الفيديو المخزنية. يستخدم تنزيل YouTube الأداة yt-dlp ولا يحتاج إلى مفاتيح API هذه.

أين تُحفظ التنزيلات؟

افتراضيًا، تُحفظ الملفات في مجلد تنزيلات المهارة. يمكن للمستخدمين اختيار دليل إخراج آخر.

هل يمكنها قص مقاطع الفيديو؟

نعم. تستخدم ffmpeg للقص حسب وقت البداية أو وقت النهاية أو المدة المستهدفة.

هل من الآمن نشر الأصول التي تم تنزيلها؟

يجب عليك التحقق من ترخيص المصدر وحقوق الاستخدام لكل أصل قبل النشر.

لماذا تم تصنيف هذه المهارة على أنها متوسطة المخاطر؟

تستخدم طلبات شبكة ومفاتيح API وعمليات كتابة ملفات محلية وأدوات وسائط خارجية. هذه عمليات متوقعة لكنها حساسة.

هل ترسل مفاتيح API الخاصة بي إلى خوادم غير معروفة؟

لم يتم العثور على دليل على تسريب غير معروف. تُستخدم المفاتيح لطلبات Pexels وPixabay وUnsplash المعلن عنها.

تفاصيل المطور

المؤلف

yizhiyanhua-ai

الترخيص

MIT

مراجعة Skillstore

تنبيه الإصدار

لم يعلن المؤلف عن إصدار.

المستودع

https://github.com/yizhiyanhua-ai/media-downloader/tree/main/

مرجع

64ca8af0f54a325752f08bd54e52151061ea659a

حداثة الصيانة

٢٢‏/٧‏/٢٠٢٦

الاستخدام

56 تنزيلات · 322 مشاهدات

بنية الملفات

📄 media_cli.py

📄 README_CN.md

📄 README.md

📄 SKILL.md