📦

sast-horusec

Name: sast-horusec
Author: AgentSecOps

v0.1.0 Inhaltsrevision r2 Kritisch ⚙️ Externe Befehle🌐 Netzwerkzugriff📁 Dateisystemzugriff🔑 Umgebungsvariablen⚡ Enthält Skripte

Horusec SAST in CI und lokalen Repositories ausführen

Security-Teams benötigen konsistente statische Analyse über Sprachen und Pipelines hinweg. Dieser Skill unterstützt bei Horusec-Scans, Secrets-Prüfungen, CI-Einrichtung und der Triage von Findings.

Unterstützt: Claude Codex Code(CC)

⚠️ 38 Schlecht

Diesen Skill nicht automatisch installieren.

Die maßgebliche Richtlinie verlangt vor jeder Installationsaktion eine Prüfung durch einen Bediener.

Mit meinem Agent installieren

Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.

Agent-Anfrage

Review the Skillstore skill "sast-horusec" from https://skillstore.io/skills/agentsecops-sast-horusec.md and its manifest at https://skillstore.io/api/skills/agentsecops-sast-horusec/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.

Agent-lesbare Ressourcen

Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.

Markdown-Detailseite GET /skills/agentsecops-sast-horusec.md Signiertes manifest GET /api/skills/agentsecops-sast-horusec/manifest Signiertes lockfile GET /api/skills/agentsecops-sast-horusec/lockfile

Testen

„sast-horusec“ wird verwendet. Scanne ein Python-API-Repository auf SAST und Secrets.

Erwartetes Ergebnis:

Ein Scan-Plan mit Voraussetzungen, Horusec-Optionen und erwarteten Report-Dateien.
Eine Triage-Zusammenfassung, gruppiert nach kritischen, hohen, mittleren und niedrigen Findings.
Eine Remediation-Checkliste für Secrets-Rotation und Änderungen an verwundbarem Code.

„sast-horusec“ wird verwendet. Füge Horusec zu einem Pull-Request-Workflow hinzu.

Erwartetes Ergebnis:

Ein CI-Workflow-Entwurf mit Artefaktaufbewahrung und Schweregrad-Schwellenwerten.
Hinweise zum Pinnen von Actions, zum Vermeiden unsicherer Installer-Muster und zum Begrenzen von Token-Berechtigungen.
Developer-Feedback-Leitlinien für Pull-Request-Kommentare und Audit-Aufzeichnungen.

„sast-horusec“ wird verwendet. Erkläre, ob ein gemeldetes SQL-Injection-Finding gültig ist.

Erwartetes Ergebnis:

Eine Finding-Prüfung, die Datenfluss, Query-Erstellung und bestehende Kontrollen prüft.
Ein empfohlener Fix mit parametrisierten Queries oder ORM-Methoden.
Ein Validierungsschritt, um den Scan erneut auszuführen und das Ergebnis zu dokumentieren.

Sicherheitsaudit

Kritisch

v9 • 23.7.2026 Versionsbericht öffnen

Most detections are documentation syntax, secure examples, or reference URLs and are false positives. Confirmed risks include remote installers, Docker socket exposure, unsafe permissions, token exposure, mutable images, and ineffective CI gates.

Gescannte Dateien

1,886

Analysierte Zeilen

Prüfelemente

Falschmeldungen ignoriert

Bestätigte Sicherheitsbedenken (7)

Kritisch

assets/ci-config-template.yml:240

Pipe to shell pattern

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

The template downloads a mutable remote script and executes it without integrity verification. A compromised source can run arbitrary CI code.

Kritisch

SKILL.md:298

Pipe to shell pattern

curl -fsSL https://raw.githubusercontent.com/ZupIT/horusec/main/deployments/scripts/install.sh | bas

The installation command pipes an unverified remote script directly into Bash. A compromised branch or account could execute arbitrary code.

Kritisch

SKILL.md:39

Docker socket access

docker run -v /var/run/docker.sock:/var/run/docker.sock \

The command gives a mutable Horusec container direct Docker socket access. Container compromise can control sibling containers and the host.

Kritisch

SKILL.md:213

Docker socket access

docker run -v /var/run/docker.sock:/var/run/docker.sock \

The CI example gives a mutable Horusec container direct Docker socket access. Image compromise can control the runner host.

Kritisch

SKILL.md:256

Docker socket access

sudo chmod 666 /var/run/docker.sock

World-writable Docker socket permissions let any local process control Docker. This commonly provides effective root-level host access.

Kritisch

SKILL.md:39-40 SKILL.md:213-214

Mutable privileged container dependency

The guide runs mutable Horusec images with the host Docker socket, allowing a compromised image to control the host.

Both examples combine a latest image tag with direct host Docker socket access.

Hoch

assets/ci-config-template.yml:34 assets/ci-config-template.yml:246-256

Declared CI thresholds are not enforced

The pipeline declares critical and high failures, but the IaC stage only warns and leaves its failure command commented.

The declared failure policy directly conflicts with the warning-only IaC result handling.

Elemente der Fähigkeitsprüfung (5)

Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.

Hoch

assets/ci-config-template.yml:164

Git platform tokens

GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

The workflow passes GITHUB_TOKEN to a mutable third-party action reference. Compromise could abuse the token's granted repository permissions.

Hoch

SKILL.md:256

sudo privilege escalation

sudo chmod 666 /var/run/docker.sock

This command makes the Docker socket world-writable. Any local process could gain Docker control and effective root-level host access.

Hoch

SKILL.md:257

sudo privilege escalation

# Or run with sudo (not recommended for CI/CD)

The troubleshooting guidance suggests running Horusec with sudo, expanding scanner and dependency compromise impact to root-level host access.

Niedrig

assets/ci-config-template.yml:240

Hardcoded URL

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

This URL supplies a remote script that is executed immediately without integrity verification. Source compromise could run arbitrary CI code.

Niedrig

SKILL.md:298

Hardcoded URL

curl -fsSL https://raw.githubusercontent.com/ZupIT/horusec/main/deployments/scripts/install.sh | bas

This URL supplies a remote installer that is executed immediately without integrity verification. Source compromise could run arbitrary local code.

Risikofaktoren

⚙️ Externe Befehle (50)

🌐 Netzwerkzugriff (22)

📁 Dateisystemzugriff (2)

assets/ci-config-template.yml:323 assets/ci-config-template.yml:323

🔑 Umgebungsvariablen (23)

⚡ Enthält Skripte (2)

references/EXAMPLE.md:138 references/EXAMPLE.md:137

Erkannte Muster

Pipe to shell pattern×2Docker socket access×3

Geprüft von: codex Audit-Verlauf anzeigen →

Diesen Bericht teilen & zitieren

Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.

Versionsbericht öffnen

Berichtslink kopieren

https://skillstore.io/skills/agentsecops-sast-horusec/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown-Badge

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-sast-horusec/security.svg)](https://skillstore.io/skills/agentsecops-sast-horusec?utm_source=security_passport_badge)

HTML-Badge

<a href="https://skillstore.io/skills/agentsecops-sast-horusec?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-sast-horusec/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Einbettungskarte

<iframe src="https://skillstore.io/embed/skills/agentsecops-sast-horusec.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Wissenschaftliche Zitate (APA · BibTeX · CFF)

APA-Zitat

AgentSecOps. (2026). sast-horusec security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-sast-horusec/audits/9

BibTeX-Zitat

@techreport{agentsecops-agentsecops-sast-horusec-2026,
  author = {AgentSecOps},
  title = {sast-horusec security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/agentsecops-sast-horusec/audits/9},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "sast-horusec security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
  - name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-sast-horusec/audits/9"
identifiers:
  - type: other
    value: "skillstore:agentsecops-sast-horusec:audit:9"
    description: "Skillstore immutable audit report identifier"

Skillstore-Score

Warum dieser Score Evidenzvertrauen: Mittel

Architektur

100

Wartbarkeit

Inhalt

Gemeinschaft

100

Spezifikationskonformität

Was Sie erstellen können

Code vor dem Mergen prüfen

Führe einen lokalen Horusec-Scan aus, prüfe kritische Findings und bestätige Fixes, bevor du einen Pull Request öffnest.

SAST-Reporting standardisieren

Erstelle konsistente Scan-Ausgaben, Schweregrad-Schwellenwerte und Remediation-Hinweise für Security-Review-Workflows.

CI-Sicherheits-Gates hinzufügen

Nutze Pipeline-Vorlagen, um SAST-, Dependency-, Secrets-, Container- und IaC-Prüfungen während der Auslieferung auszuführen.

Diese Prompts ausprobieren

Einen einfachen Scan ausführen

Nutze diesen Skill, um einen Horusec-Scan für mein aktuelles Repository zu planen. Füge Setup-Prüfungen, den Scan-Befehl und Hinweise zum Lesen von Ergebnissen mit hohem Schweregrad hinzu.

Secrets-Exposition prüfen

Leite mich durch die Nutzung von Horusec, um dieses Repository auf offengelegte Secrets zu prüfen. Füge Schritte für Validierung, Rotation und Dokumentation der Remediation hinzu.

CI-Scanning entwerfen

Erstelle einen CI-Plan, der Horusec mit JSON-Ausgabe ausführt, Artefakte speichert und den Build bei kritischen Findings fehlschlagen lässt. Füge Härtungsempfehlungen hinzu.

Komplexe Findings triagieren

Hilf mir, Horusec-Findings in einem Monorepo zu triagieren. Gruppiere Ergebnisse nach Schweregrad, ordne sie CWE oder OWASP zu und schlage Remediation-Prioritäten vor.

Bewährte Praktiken

Pinne Scanner-Images, Actions und Installer-Prüfsummen, bevor du Beispiele in der Produktion nutzt.
Speichere Scan-Reports als eingeschränkte Artefakte, da sie sensiblen Code-Kontext enthalten können.
Prüfe akzeptierte False Positives nach Zeitplan und dokumentiere den geschäftlichen Grund.

Vermeiden

Mounte den Host-Docker-Socket nicht in Scanner-Container auf gemeinsam genutzten Runnern.
Leite Remote-Install-Skripte nicht direkt in eine Shell weiter.
Behandle Scanner-Ausgaben ohne menschliches Review nicht als Sicherheitsnachweis.

Häufig gestellte Fragen

Wobei hilft mir dieser Skill?

Er hilft bei Planung und Betrieb von Horusec SAST-Scans, Secrets-Prüfungen, CI-Integration und der Triage von Security-Findings.

Führt der Skill Horusec automatisch aus?

Nein. Er stellt Befehle, Workflows und Review-Leitlinien bereit. Du führst den Scanner in deiner eigenen Umgebung aus.

Welche Tools sind erforderlich?

Typischerweise werden Horusec, Git und entweder Docker oder lokale Sprach-Security-Tools benötigt.

Kann er Secrets in der Git-Historie finden?

Ja. Die Anleitung enthält Horusec-Git-Historienanalyse und Folgeschritte für Credential-Rotation.

Ist es sicher, die CI-Vorlagen direkt zu kopieren?

Nein. Pinne Actions, Versionen und Prüfsummen vor dem Produktionseinsatz und entferne unsichere Docker-Socket-Muster.

Wie sollten False Positives behandelt werden?

Validiere jedes Finding, dokumentiere die Risikoakzeptanz, füge eng begrenzte Ignore-Regeln hinzu und überprüfe akzeptierte Findings regelmäßig erneut.