📦

sast-bandit

Name: sast-bandit
Author: AgentSecOps

v0.1.0 Inhaltsrevision r2 Hohes Risiko ⚡ Enthält Skripte⚙️ Externe Befehle📁 Dateisystemzugriff🌐 Netzwerkzugriff🔑 Umgebungsvariablen

Python-Code mit Bandit SAST scannen

Python-Teams benötigen schnelle Sicherheitsprüfungen, bevor Code CI erreicht. Diese Skill-Anleitung behandelt Bandit-Scans, pre-commit-Einrichtung, OWASP- und CWE-Zuordnung sowie Behebung.

Unterstützt: Claude Codex Code(CC)

⚠️ 38 Schlecht

Vor der Installation anhalten und eine Bestätigung anfordern.

Prüfen Sie den Plan und holen Sie vor Änderungen an Dateien die ausdrückliche Zustimmung des Benutzers ein.

Mit meinem Agent installieren

Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.

Agent-Anfrage

Review the Skillstore skill "sast-bandit" from https://skillstore.io/skills/agentsecops-sast-bandit.md and its manifest at https://skillstore.io/api/skills/agentsecops-sast-bandit/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.

Agent-lesbare Ressourcen

Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.

Markdown-Detailseite GET /skills/agentsecops-sast-bandit.md Signiertes manifest GET /api/skills/agentsecops-sast-bandit/manifest Signiertes lockfile GET /api/skills/agentsecops-sast-bandit/lockfile

Testen

„sast-bandit“ wird verwendet. Ein Bandit-Bericht enthält Findings zu hartcodiertem Passwort und subprocess shell.

Erwartetes Ergebnis:

Hohe Priorität: hartcodierte Zugangsdaten entfernen und alle offengelegten Secrets rotieren.
Hohe Priorität: Shell-Befehlskonstruktion durch Argumentlisten und Eingabevalidierung ersetzen.
Jede Behebung mit CWE- und OWASP-Referenzen als Prüfnachweis nachverfolgen.

„sast-bandit“ wird verwendet. Ein Team möchte Bandit in pre-commit verwenden, ohne alle Legacy-Probleme zu blockieren.

Erwartetes Ergebnis:

Mit Warnungen für die vollständige Baseline beginnen.
Neue Findings mit hohem Schweregrad zuerst blockieren.
Die Durchsetzung erhöhen, nachdem Verantwortliche akzeptierte Ausnahmen dokumentiert haben.

„sast-bandit“ wird verwendet. Ein Entwickler fragt, wie unsichere Deserialisierung behoben werden kann.

Erwartetes Ergebnis:

pickle für nicht vertrauenswürdige Daten vermeiden. JSON oder MessagePack mit Schemavalidierung bevorzugen und jede vertrauenswürdige interne Ausnahme dokumentieren.

Sicherheitsaudit

Hohes Risiko

v10 • 23.7.2026 Versionsbericht öffnen

Most static matches are false positives from configuration lists, Markdown formatting, references, and labeled vulnerable examples. Confirmed risks include unsafe eval suppression, unvalidated subprocess guidance, fragile xargs filename handling, and unsafe pickle suppression. Third-party hooks and actions also use mutable references.

Gescannte Dateien

1,527

Analysierte Zeilen

Prüfelemente

Falschmeldungen ignoriert

Bestätigte Sicherheitsbedenken (2)

Hoch

SKILL.md:240-246

Unsafe Pickle Suppression Guidance

The skill presents pickle.load on a caller-provided path as an acceptable # nosec example. A writable cache or attacker-controlled path could enable code execution.

The example directly deserializes a caller-selected file and suppresses B301 without enforcing a trusted directory, ownership, or integrity check.

Mittel

assets/pre-commit-config.yaml:20-40 assets/pre-commit-config.yaml:100-145 SKILL.md:149-154

Mutable Third-Party Execution References

Pre-commit hooks and GitHub Actions execute third-party code through release tags instead of immutable commit hashes. A moved or compromised tag could execute altered code.

The cited configurations use version tags for code that runs in developer or CI environments. No immutable commit SHA or package hash is specified.

Elemente der Fähigkeitsprüfung (3)

Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.

Hoch

assets/bandit_config.yaml:204

Dynamic code evaluation with eval()

# result = eval(safe_expression) # nosec B307

The line is non-executable, but it presents eval() with a # nosec suppression and no validation. Copying this guidance can introduce arbitrary code execution.

Hoch

references/remediation_guide.md:187

Python subprocess.run

subprocess.run(["cat", filename], check=True, capture_output=True)

The example labels this call safe although filename comes directly from request.GET. An attacker can select arbitrary readable paths or inject options into cat.

Mittel

SKILL.md:274

xargs command (can execute arbitrary commands)

3. Scan only changed files in CI/CD: `git diff --name-only origin/main | grep '.py$' | xargs bandit`

Repository-controlled filenames are passed through newline and whitespace parsing into Bandit arguments. Crafted paths can split arguments or be interpreted as Bandit options.

Risikofaktoren

⚡ Enthält Skripte (2)

assets/bandit_config.yaml:204 references/cwe_owasp_mapping.md:61

⚙️ Externe Befehle (50)

assets/bandit_config.yaml:117 assets/bandit_config.yaml:112 assets/bandit_config.yaml:116 assets/bandit_config.yaml:112 assets/bandit_config.yaml:115 references/remediation_guide.md:187 references/remediation_guide.md:204 references/remediation_guide.md:209 references/remediation_guide.md:228 references/remediation_guide.md:169 references/remediation_guide.md:176 references/remediation_guide.md:172 SKILL.md:34-49 SKILL.md:49-57 SKILL.md:57-59 SKILL.md:59-61 SKILL.md:61 SKILL.md:63-79 SKILL.md:79-85 SKILL.md:85-97 SKILL.md:97-110 SKILL.md:110-115 SKILL.md:115-128 SKILL.md:128-132 SKILL.md:132 SKILL.md:140-159 SKILL.md:159-161 SKILL.md:161-165 SKILL.md:165-173 SKILL.md:173-177 SKILL.md:177-179 SKILL.md:179-181 SKILL.md:181-183 SKILL.md:183-185 SKILL.md:185-187 SKILL.md:187-189 SKILL.md:189-191 SKILL.md:191-199 SKILL.md:199-206 SKILL.md:206-212 SKILL.md:212-219 SKILL.md:219-225 SKILL.md:225-234 SKILL.md:234-240 SKILL.md:240-247 SKILL.md:247-251 SKILL.md:251-257 SKILL.md:257-264 SKILL.md:264-265 SKILL.md:265-266

📁 Dateisystemzugriff (15)

assets/bandit_config.yaml:8 assets/bandit_config.yaml:10 assets/bandit_config.yaml:12 assets/bandit_config.yaml:19 assets/bandit_config.yaml:20 assets/bandit_config.yaml:23 assets/bandit_config.yaml:27 assets/bandit_config.yaml:28 assets/bandit_config.yaml:29 assets/bandit_config.yaml:30 assets/bandit_config.yaml:31 assets/bandit_config.yaml:75 references/cwe_owasp_mapping.md:23 SKILL.md:68 SKILL.md:272

🌐 Netzwerkzugriff (29)

🔑 Umgebungsvariablen (19)

Geprüft von: codex Audit-Verlauf anzeigen →

Diesen Bericht teilen & zitieren

Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.

Versionsbericht öffnen

Berichtslink kopieren

https://skillstore.io/skills/agentsecops-sast-bandit/audits/10?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown-Badge

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-sast-bandit/security.svg)](https://skillstore.io/skills/agentsecops-sast-bandit?utm_source=security_passport_badge)

HTML-Badge

<a href="https://skillstore.io/skills/agentsecops-sast-bandit?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-sast-bandit/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Einbettungskarte

<iframe src="https://skillstore.io/embed/skills/agentsecops-sast-bandit.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Wissenschaftliche Zitate (APA · BibTeX · CFF)

APA-Zitat

AgentSecOps. (2026). sast-bandit security audit report (audit version 10) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-sast-bandit/audits/10

BibTeX-Zitat

@techreport{agentsecops-agentsecops-sast-bandit-2026,
  author = {AgentSecOps},
  title = {sast-bandit security audit report (audit version 10)},
  institution = {Skillstore},
  year = {2026},
  number = {10},
  url = {https://skillstore.io/skills/agentsecops-sast-bandit/audits/10},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "sast-bandit security audit report (audit version 10)"
version: "0.1.0"
type: report
authors:
  - name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-sast-bandit/audits/10"
identifiers:
  - type: other
    value: "skillstore:agentsecops-sast-bandit:audit:10"
    description: "Skillstore immutable audit report identifier"

Skillstore-Score

Warum dieser Score Evidenzvertrauen: Mittel

Architektur

100

Wartbarkeit

Inhalt

Gemeinschaft

Spezifikationskonformität

Was Sie erstellen können

Python-Pull-Requests prüfen

Bandit vor dem Merge ausführen und neue Findings nach Schweregrad, Vertrauen, CWE und OWASP-Kategorie triagieren.

Anfällige Python-Muster beheben

Den Behebungsleitfaden verwenden, um unsichere SQL-, subprocess-, Kryptografie- und Deserialisierungsmuster zu ersetzen.

CI-Sicherheits-Gates hinzufügen

Bandit in pre-commit oder CI konfigurieren, damit Findings mit mittlerem und hohem Schweregrad riskante Änderungen blockieren.

Diese Prompts ausprobieren

Einen einfachen Scan ausführen

Hilf mir, Bandit für dieses Python-Projekt auszuführen, und erkläre die Schweregrad- und Vertrauensstufen in einfacher Sprache.

Findings triagieren

Prüfe meine Bandit-Findings, gruppiere sie nach Priorität und identifiziere, welche Probleme das Release blockieren sollten.

Compliance zuordnen

Ordne diese Bandit-Issue-IDs CWE- und OWASP Top 10-Kategorien zu und fasse anschließend die Compliance-Auswirkungen zusammen.

Ein CI-Gate entwerfen

Entwirf eine Bandit-pre-commit- und CI-Richtlinie für einen Legacy-Python-Service mit schrittweiser Durchsetzung und dokumentierten Ausnahmen.

Bewährte Praktiken

Bandit in CI mit klaren Schweregrad- und Vertrauensschwellen ausführen.
Bandit-Berichte sorgfältig speichern, da Ausschnitte Secrets offenlegen können.
Jede Unterdrückung mit einer spezifischen Sicherheitsbegründung dokumentieren.

Vermeiden

Findings mit niedrigem Vertrauen nicht ohne Prüfung als sicher behandeln.
Anfällige Beispiele aus Behebungsleitfäden nicht in Produktionscode kopieren.
pre-commit- oder CI-Sicherheits-Gates nicht ohne dokumentierte Genehmigung umgehen.