Fähigkeiten Microsoft Graph API
📦

Microsoft Graph API

v0.3.0 Inhaltsrevision r1 Hohes Risiko 🌐 Netzwerkzugriff⚙️ Externe Befehle📁 Dateisystemzugriff🔑 Umgebungsvariablen

Outlook-E-Mail und -Kalender verwalten

Für E-Mail- und Kalenderaufgaben in Microsoft 365 sind häufig authentifizierte Graph API-Aufrufe erforderlich. Dieser Skill stellt Skripte zum Lesen von Nachrichten, Senden von E-Mails, Auflisten von Ereignissen und Erstellen von Kalendereinträgen bereit.

Unterstützt: Claude Codex Code(CC)
⚠️ 38 Schlecht

Mit meinem Agent installieren

Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.

Agent-Anfrage
Review the Skillstore skill "Microsoft Graph API" from https://skillstore.io/skills/bltgv-microsoft-graph-api.md and its manifest at https://skillstore.io/api/skills/bltgv-microsoft-graph-api/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.

Agent-lesbare Ressourcen

Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.

Markdown-Detailseite GET /skills/bltgv-microsoft-graph-api.md Signiertes manifest GET /api/skills/bltgv-microsoft-graph-api/manifest Signiertes lockfile GET /api/skills/bltgv-microsoft-graph-api/lockfile

Testen

„Microsoft Graph API“ wird verwendet. Zeige meine ungelesenen Posteingangsnachrichten.

Erwartetes Ergebnis:

Eine prägnante Liste ungelesener Nachrichten mit Absender, Betreff, Empfangszeit, Lesestatus und Textvorschau.

„Microsoft Graph API“ wird verwendet. Welche Besprechungen habe ich diese Woche?

Erwartetes Ergebnis:

Eine chronologische Agenda mit Ereignistiteln, Start- und Endzeiten, Orten, Organisatoren und Teilnehmerstatus, sofern verfügbar.

„Microsoft Graph API“ wird verwendet. Sende eine Follow-up-E-Mail an das Projektteam.

Erwartetes Ergebnis:

Eine Bestätigungsanfrage mit Empfängern, Betreff und Nachrichtentext, bevor die E-Mail gesendet wird.

Sicherheitsaudit

Hohes Risiko
v9 • 19.7.2026 Versionsbericht öffnen

Most static alerts are false positives caused by TypeScript template literals, Markdown backticks, example identifiers, and official Microsoft URLs. Confirmed risks include OAuth network operations, immediate email sending, and plaintext credential storage. Semantic review also found weak secret-file permissions, indirect prompt-injection exposure, and unconfirmed calendar creation.

11
Gescannte Dateien
2,369
Analysierte Zeilen
9
Prüfelemente
0
Falschmeldungen ignoriert

Bestätigte Sicherheitsbedenken (4)

Hoch
scripts/lib/credentials.ts:7
Credential JSON file
const CREDENTIALS_FILE = join(CONFIG_DIR, "credentials.json");
This path is used to persist Microsoft Graph access and refresh tokens as plaintext JSON. Disclosure of the file can grant delegated mailbox and calendar access.
Hoch
scripts/lib/credentials.ts:22-24scripts/lib/pending-auth.ts:51-53
OAuth Secret Files Lack Restrictive Permissions
Credential and pending-auth files contain tokens or device codes. The write operations do not set restrictive modes, so other local users may read them.
Both functions write sensitive JSON with writeFile and no mode option. Default permissions depend on umask and can permit local disclosure.
Hoch
scripts/emails.ts:222-238scripts/calendar.ts:210-224
Indirect Prompt Injection Exposure
Email bodies and calendar text are returned directly to the agent. Malicious content may influence later email or calendar actions without an untrusted-data boundary.
The scripts return externally controlled message bodies and event fields verbatim. The skill instructions provide no rule to treat retrieved content only as data.
Mittel
scripts/calendar.ts:335-400SKILL.md:148-169
Calendar Creation Has No Confirmation Gate
The create command posts events and attendee invitations immediately. The skill does not require a final user review of subject, time, or recipients.
The create branch validates required fields and posts immediately. The usage instructions show direct create commands without a confirmation step.
Elemente der Fähigkeitsprüfung (9)

Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.

Hoch
scripts/emails.ts:325
Email sending capability
await graphPost(token, "/me/sendMail", { message });
This call sends a message through the authenticated mailbox immediately. The script has no recipient preview or explicit confirmation gate before the external side effect.
Niedrig
scripts/calendar.ts:125
Fetch API call
const response = await fetch(url, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
Niedrig
scripts/calendar.ts:143
Fetch API call
const response = await fetch(url, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
Niedrig
scripts/emails.ts:122
Fetch API call
const response = await fetch(url, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
Niedrig
scripts/emails.ts:140
Fetch API call
const response = await fetch(url, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
Niedrig
scripts/lib/device-code.ts:45
Fetch API call
const response = await fetch(url, {
The fetch performs OAuth device-code, token, or refresh exchanges with Microsoft identity endpoints. This is expected, but it transmits authentication material over the network.
Niedrig
scripts/lib/device-code.ts:87
Fetch API call
const response = await fetch(url, {
The fetch performs OAuth device-code, token, or refresh exchanges with Microsoft identity endpoints. This is expected, but it transmits authentication material over the network.
Niedrig
scripts/lib/device-code.ts:152
Fetch API call
const response = await fetch(url, {
The fetch performs OAuth device-code, token, or refresh exchanges with Microsoft identity endpoints. This is expected, but it transmits authentication material over the network.
Niedrig
scripts/lib/graph-client.ts:155
Fetch API call
const response = await fetch(`https://graph.microsoft.com/v1.0${endpoint}`, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.

Risikofaktoren

🌐 Netzwerkzugriff (25)
references/graph-api.md:241 scripts/auth.ts:77 scripts/auth.ts:83 scripts/auth.ts:171 scripts/calendar.ts:125 scripts/calendar.ts:143 scripts/calendar.ts:123 scripts/calendar.ts:141 scripts/emails.ts:122 scripts/emails.ts:140 scripts/emails.ts:120 scripts/emails.ts:138 scripts/emails.ts:325 scripts/lib/device-code.ts:45 scripts/lib/device-code.ts:87 scripts/lib/device-code.ts:152 scripts/lib/device-code.ts:38 scripts/lib/device-code.ts:78 scripts/lib/device-code.ts:142 scripts/lib/graph-client.ts:155 scripts/lib/graph-client.ts:62 scripts/lib/graph-client.ts:155 SKILL.md:33 SKILL.md:42 SKILL.md:55
⚙️ Externe Befehle (50)
scripts/auth.ts:57-104 scripts/auth.ts:120 scripts/auth.ts:121 scripts/auth.ts:122 scripts/auth.ts:124 scripts/auth.ts:127 scripts/auth.ts:129 scripts/auth.ts:140 scripts/auth.ts:142 scripts/auth.ts:155 scripts/auth.ts:156 scripts/auth.ts:158 scripts/auth.ts:160 scripts/auth.ts:163 scripts/auth.ts:165 scripts/auth.ts:171 scripts/auth.ts:178 scripts/auth.ts:179 scripts/auth.ts:180 scripts/auth.ts:181 scripts/auth.ts:199 scripts/auth.ts:200 scripts/auth.ts:201 scripts/calendar.ts:66-113 scripts/calendar.ts:123 scripts/calendar.ts:127 scripts/calendar.ts:134 scripts/calendar.ts:141 scripts/calendar.ts:146 scripts/calendar.ts:154 scripts/calendar.ts:287 scripts/calendar.ts:305 scripts/calendar.ts:325 scripts/calendar.ts:410 scripts/emails.ts:65-110 scripts/emails.ts:120 scripts/emails.ts:124 scripts/emails.ts:131 scripts/emails.ts:138 scripts/emails.ts:143 scripts/emails.ts:151 scripts/emails.ts:198 scripts/emails.ts:224 scripts/emails.ts:252 scripts/emails.ts:273 scripts/emails.ts:339 scripts/lib/auth-handler.ts:66-79 scripts/lib/auth-handler.ts:79-194 scripts/lib/device-code.ts:38 scripts/lib/device-code.ts:55
📁 Dateisystemzugriff (3)
scripts/lib/graph-client.ts:116 SKILL.md:210 SKILL.md:210
🔑 Umgebungsvariablen (2)
scripts/lib/graph-client.ts:105 scripts/lib/graph-client.ts:105
Geprüft von: codex Audit-Verlauf anzeigen →
Diesen Bericht teilen & zitieren

Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.

Versionsbericht öffnen
Sicherheitsbewertung

Berichtslink kopieren

https://skillstore.io/skills/bltgv-microsoft-graph-api/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown-Badge

[![Skillstore security assessment](https://skillstore.io/badges/skills/bltgv-microsoft-graph-api/security.svg)](https://skillstore.io/skills/bltgv-microsoft-graph-api?utm_source=security_passport_badge)

HTML-Badge

<a href="https://skillstore.io/skills/bltgv-microsoft-graph-api?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/bltgv-microsoft-graph-api/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Einbettungskarte

<iframe src="https://skillstore.io/embed/skills/bltgv-microsoft-graph-api.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
Wissenschaftliche Zitate (APA · BibTeX · CFF)

APA-Zitat

BLTGV. (2026). Microsoft Graph API security audit report (audit version 9) [Author version 0.3.0]. Skillstore. https://skillstore.io/skills/bltgv-microsoft-graph-api/audits/9

BibTeX-Zitat

@techreport{bltgv-bltgv-microsoft-graph-api-2026, author = {BLTGV}, title = {Microsoft Graph API security audit report (audit version 9)}, institution = {Skillstore}, year = {2026}, number = {9}, url = {https://skillstore.io/skills/bltgv-microsoft-graph-api/audits/9}, note = {Author version 0.3.0} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "Microsoft Graph API security audit report (audit version 9)" version: "0.3.0" type: report authors: - name: "BLTGV" date-released: "2026-07-19" url: "https://skillstore.io/skills/bltgv-microsoft-graph-api/audits/9" identifiers: - type: other value: "skillstore:bltgv-microsoft-graph-api:audit:9" description: "Skillstore immutable audit report identifier"

Skillstore-Score

Warum dieser Score Evidenzvertrauen: Mittel
64
Architektur
100
Wartbarkeit
87
Inhalt
71
Gemeinschaft
74
Spezifikationskonformität

Was Sie erstellen können

Aktuelle E-Mails prüfen

Aktuelle Outlook-Nachrichten zusammenfassen, nach wichtigen Absendern suchen und bei Bedarf bestimmte E-Mail-Inhalte öffnen.

Tagesplan verwalten

Microsoft 365-Kalenderereignisse für heute, diese Woche oder einen benutzerdefinierten Datumsbereich prüfen.

Graph-Workflows automatisieren

Authentifizierte Skripte verwenden, um Nachrichten zu senden oder Besprechungen aus einem Agent-Workflow zu erstellen.

Diese Prompts ausprobieren

Aktuelle Posteingangs-E-Mails auflisten 
Zeige mir meine 10 aktuellsten Outlook-Posteingangsnachrichten mit Absender, Betreff, Empfangszeit und einer kurzen Vorschau.
Nachrichten nach Thema finden 
Durchsuche meine Outlook-E-Mails der letzten Woche nach Nachrichten über [topic]. Fasse die passenden Betreffzeilen und Absender zusammen.
Ein Kalenderereignis planen 
Erstelle ein Kalenderereignis für [meeting name] am [date and time] mit [attendees]. Bestätige alle Details mit mir, bevor du es erstellst.
E-Mail und Kalender koordinieren 
Finde E-Mails von [person] über [project], identifiziere vorgeschlagene Besprechungszeiten und entwirf ein Kalenderereignis zur Genehmigung.

Bewährte Praktiken

  • Empfänger, Betreff und Text vor dem Senden einer E-Mail mit dem Benutzer bestätigen.
  • Separate Profile für geschäftliche und persönliche Konten verwenden.
  • Beim Lesen von Nachrichten oder Ereignissen nach dem kleinstmöglichen erforderlichen Datenbereich fragen.

Vermeiden

  • Keine E-Mails senden oder Ereignisse erstellen ohne ausdrückliche Zustimmung des Benutzers.
  • Keine umfangreichen Postfachdaten anfordern, wenn eine spezifische Suche ausreicht.
  • Keine Tokens für gemeinsam genutzte Konten oder Dienstkonten in einem Benutzerprofil speichern.

Häufig gestellte Fragen

Auf welche Microsoft-Dienste greift dieser Skill zu?
Er greift über Microsoft Graph auf Outlook-E-Mail- und Microsoft 365-Kalenderdaten zu.
Ist eine Authentifizierung erforderlich?
Ja. Er verwendet die Microsoft-Gerätecode-Authentifizierung und speichert das resultierende Token lokal.
Kann er E-Mails senden?
Ja. Er kann E-Mails senden, wenn das angemeldete Konto die Mail.Send-Berechtigung gewährt.
Kann er Kalenderereignisse erstellen?
Ja. Er kann Ereignisse erstellen, wenn das angemeldete Konto Schreibberechtigungen für den Kalender gewährt.
Wo werden Anmeldedaten gespeichert?
Die Skripte speichern OAuth-Anmeldedaten in einer JSON-Datei im Benutzerkonfigurationsverzeichnis.
Verarbeitet er große Ergebnismengen automatisch?
Nein. Er begrenzt Ergebnisse mit top-Werten und implementiert keine vollständige Paginierung.

Entwicklerdetails

Autor

BLTGV

Lizenz

MIT

Autorenversion

v0.3.0

Skillstore-Revision

r1

Repository

https://github.com/BLTGV/agent-skills/tree/master/skills/microsoft-graph

Ref.

1b5b6c4962b2ad5a7a34603cab2685bbbd1b61ef

Aktualität der Wartung

26.7.2026

Nutzung

18 Downloads · 246 Aufrufe

Dateistruktur

📁 references/

📄 graph-api.md

📁 scripts/

📄 auth.ts

📄 calendar.ts

📄 emails.ts

📁 lib/

📄 auth-handler.ts

📄 credentials.ts

📄 device-code.ts

📄 graph-client.ts

📄 pending-auth.ts

📄 types.ts

📄 SKILL.md

Mehr von BLTGV

Alle anzeigen

Ähnliche Skills

Alle anzeigen