Fähigkeiten zentao-api
📦
zentao-api
v1.0.4 Inhaltsrevision r1 Hohes Risiko ⚙️ Externe Befehle📁 Dateisystemzugriff🌐 Netzwerkzugriff
ZenTao-Projekte über die API verwalten
Teams benötigen schnellen Zugriff auf ZenTao-Arbeitselemente, ohne API-Anfragen manuell zu erstellen. Dieser Skill ordnet Anfragen in natürlicher Sprache ZenTao REST API v2.0-Aufrufen zu.
Unterstützt: Claude Codex Code(CC)
Vor der Installation anhalten und eine Bestätigung anfordern.
Prüfen Sie den Plan und holen Sie vor Änderungen an Dateien die ausdrückliche Zustimmung des Benutzers ein.
Mit meinem Agent installieren
Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.
Agent-Anfrage
Review the Skillstore skill "zentao-api" from https://skillstore.io/skills/easysoft-zentao-api.md and its manifest at https://skillstore.io/api/skills/easysoft-zentao-api/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.
Agent-lesbare Ressourcen
Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.
Testen
„zentao-api“ wird verwendet. Zeige aktive Projekte und ihre Ausführungen.
Erwartetes Ergebnis:
Eine prägnante Projektliste mit IDs, Namen aktiver Ausführungen, Status, Verantwortlichen und Vorschlägen für die nächste Abfrage.
„zentao-api“ wird verwendet. Erstelle einen kritischen Bug für Produkt 12.
Erwartetes Ergebnis:
Eine Bestätigungszusammenfassung mit Zielprodukt, Titel, Schweregrad, Build, zuständiger Person und den exakten Feldern, die übermittelt werden.
„zentao-api“ wird verwendet. Löse Bug 345 als behoben.
Erwartetes Ergebnis:
Eine Statusaktualisierung, die den gelösten Bug, den Auflösungswert, eine Zusammenfassung der Serverantwort und alle Folgefelder bestätigt.
Sicherheitsaudit
Hohes Risikov4 • 6.7.2026 Versionsbericht öffnen
The skill is a legitimate ZenTao REST API helper, and many static hits are Markdown code spans or intended API examples. Confirmed issues are the eval-based token helper and plaintext persistent token cache in ~/.zentao-token.json. These can expose long-lived credentials and enable shell execution from malicious token values.
3
Gescannte Dateien
776
Analysierte Zeilen
21
Prüfelemente
0
Falschmeldungen ignoriert
Bestätigte Sicherheitsbedenken (2)
Hoch
Unsafe Eval-Based Credential Export
The skill tells agents to run eval "$(bash scripts/get-token.sh)", while the helper prints ZENTAO_URL, ZENTAO_TOKEN, and ZENTAO_ACCOUNT without shell escaping. A token from cache, environment, or server response can execute shell syntax when evaluated.
The documented eval command is explicit, and the helper emits raw assignment lines without shell quoting. The token value can originate from a server response or cache file.
Hoch
Persistent Plaintext ZenTao Token Cache
The helper states ZenTao tokens are permanent and writes token, URL, and account data to ~/.zentao-token.json without setting restrictive permissions. This can expose long-lived API credentials to local users or backups.
The cache path and write operations are explicit, and the script comments say ZenTao tokens are permanent. No chmod or credential-store protection is present in the helper.
Elemente der Fähigkeitsprüfung (21)
Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.
Hoch
Shell command substitution
# 用法:eval "$(bash get-token.sh)" → 设置 ZENTAO_URL、ZENTAO_TOKEN、ZENTAO_ACCOUNT
The documented usage evals the helper output, while the helper prints unescaped URL, token, and account values. A malicious token or cache value can execute shell syntax when evaluated.
Hoch
Node.js fs operations
fs.writeFileSync(cachePath, JSON.stringify({ token, url, account }, null, 2));
The helper writes ZENTAO_TOKEN, URL, and account into ~/.zentao-token.json in plaintext. The script states tokens are permanent, so local disclosure is a real credential risk.
Hoch
Node.js fs operations
fs.writeFileSync(cachePath, JSON.stringify({ token, url, account }, null, 2));
The helper writes ZENTAO_TOKEN, URL, and account into ~/.zentao-token.json in plaintext. The script states tokens are permanent, so local disclosure is a real credential risk.
Hoch
Synchronous file operations
fs.writeFileSync(cachePath, JSON.stringify({ token, url, account }, null, 2));
The helper writes ZENTAO_TOKEN, URL, and account into ~/.zentao-token.json in plaintext. The script states tokens are permanent, so local disclosure is a real credential risk.
Hoch
Synchronous file operations
fs.writeFileSync(cachePath, JSON.stringify({ token, url, account }, null, 2));
The helper writes ZENTAO_TOKEN, URL, and account into ~/.zentao-token.json in plaintext. The script states tokens are permanent, so local disclosure is a real credential risk.
Hoch
Hidden file in home directory
# 缓存文件 ~/.zentao-token.json 保存 token、url、account,下次可免密直接使用。
The script deliberately uses a hidden home-directory cache for ZenTao URL, token, and account data. Storing long-lived credentials this way is a real local exposure risk.
Hoch
Hidden file in home directory
echo " · 缓存文件 ~/.zentao-token.json(含 url、token、account 字段)" >&2
The script deliberately uses a hidden home-directory cache for ZenTao URL, token, and account data. Storing long-lived credentials this way is a real local exposure risk.
Hoch
Hidden file access
# 缓存文件 ~/.zentao-token.json 保存 token、url、account,下次可免密直接使用。
The script deliberately uses a hidden home-directory cache for ZenTao URL, token, and account data. Storing long-lived credentials this way is a real local exposure risk.
Hoch
Hidden file access
CACHE_FILE="${HOME}/.zentao-token.json"
The script deliberately uses a hidden home-directory cache for ZenTao URL, token, and account data. Storing long-lived credentials this way is a real local exposure risk.
Hoch
Hidden file access
echo " · 缓存文件 ~/.zentao-token.json(含 url、token、account 字段)" >&2
The script deliberately uses a hidden home-directory cache for ZenTao URL, token, and account data. Storing long-lived credentials this way is a real local exposure risk.
Hoch
Ruby/shell backtick execution
```bash
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
Hoch
Ruby/shell backtick execution
后续所有请求 Header 携带:`token: $ZENTAO_TOKEN`
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
Hoch
Ruby/shell backtick execution
1. 运行 `eval "$(bash scripts/get-token.sh)"` 获取凭证(自动处理缓存;仍缺失时提示用户)
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
Hoch
Shell command substitution
eval "$(bash scripts/get-token.sh)"
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
Hoch
Shell command substitution
1. 运行 `eval "$(bash scripts/get-token.sh)"` 获取凭证(自动处理缓存;仍缺失时提示用户)
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
Hoch
Template literal with command substitution
```bash
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
Hoch
Template literal with command substitution
1. 运行 `eval "$(bash scripts/get-token.sh)"` 获取凭证(自动处理缓存;仍缺失时提示用户)
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
Hoch
Hidden file in home directory
**首次登录后 `ZENTAO_URL`、`ZENTAO_TOKEN`、`ZENTAO_ACCOUNT` 写入 `~/.zentao-token.json`,后续无需重复设置**。
SKILL.md documents that ZenTao URL, token, and account are written to ~/.zentao-token.json after first login. This is persistent plaintext credential storage in a hidden home file.
Hoch
Hidden file access
**首次登录后 `ZENTAO_URL`、`ZENTAO_TOKEN`、`ZENTAO_ACCOUNT` 写入 `~/.zentao-token.json`,后续无需重复设置**。
SKILL.md documents that ZenTao URL, token, and account are written to ~/.zentao-token.json after first login. This is persistent plaintext credential storage in a hidden home file.
Mittel
Synchronous file operations
const d = JSON.parse(require('fs').readFileSync(process.argv[1], 'utf8'));
The helper reads credentials from ~/.zentao-token.json and feeds them into the shell setup workflow. A tampered cache can supply unsafe values to the eval-based usage pattern.
Mittel
Ruby/shell backtick execution
所有业务 API 需在 Header 携带 `token`。运行 `scripts/get-token.sh` 自动获取:
The skill instructs agents to run a bundled shell credential helper. That helper writes a token cache and emits raw shell assignments, so this crosses a real credential boundary.
Risikofaktoren
⚙️ Externe Befehle (80)
scripts/get-token.sh:3 scripts/get-token.sh:71-73 scripts/get-token.sh:75-77 SKILL.md:19 SKILL.md:20 SKILL.md:21 SKILL.md:22 SKILL.md:24 SKILL.md:26 SKILL.md:30 SKILL.md:32-35 SKILL.md:35-37 SKILL.md:37 SKILL.md:39-43 SKILL.md:43-52 SKILL.md:52-56 SKILL.md:56-57 SKILL.md:57-58 SKILL.md:58-59 SKILL.md:59-60 SKILL.md:60-61 SKILL.md:61-62 SKILL.md:62-63 SKILL.md:63-64 SKILL.md:64-65 SKILL.md:65-66 SKILL.md:66-67 SKILL.md:67-68 SKILL.md:68-69 SKILL.md:69-70 SKILL.md:70-71 SKILL.md:71-72 SKILL.md:72-73 SKILL.md:73-74 SKILL.md:74-84 SKILL.md:84 SKILL.md:85 SKILL.md:86-87 SKILL.md:87-89 SKILL.md:89 SKILL.md:95-98 SKILL.md:98-102 SKILL.md:102-106 SKILL.md:106-110 SKILL.md:110-114 SKILL.md:114-118 SKILL.md:118-122 SKILL.md:122-126 SKILL.md:126-130 SKILL.md:130-134 SKILL.md:134-138 SKILL.md:138-142 SKILL.md:142-146 SKILL.md:146-150 SKILL.md:150-154 SKILL.md:154-158 SKILL.md:158-162 SKILL.md:162-168 SKILL.md:168 SKILL.md:169 SKILL.md:170 SKILL.md:171 SKILL.md:172 SKILL.md:173 SKILL.md:174 SKILL.md:175 SKILL.md:176 SKILL.md:177 SKILL.md:178 SKILL.md:179 SKILL.md:180 SKILL.md:181 SKILL.md:215-216 SKILL.md:216 SKILL.md:220-221 SKILL.md:221 SKILL.md:33 SKILL.md:43 SKILL.md:32-35 SKILL.md:43
📁 Dateisystemzugriff (15)
scripts/get-token.sh:57 scripts/get-token.sh:98 scripts/get-token.sh:30 scripts/get-token.sh:57 scripts/get-token.sh:98 scripts/get-token.sh:5 scripts/get-token.sh:65 scripts/get-token.sh:5 scripts/get-token.sh:10 scripts/get-token.sh:65 scripts/get-token.sh:33 SKILL.md:24 SKILL.md:220 SKILL.md:24 SKILL.md:220
🌐 Netzwerkzugriff (4)
Geprüft von: codex Audit-Verlauf anzeigen →
Diesen Bericht teilen & zitieren
Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.
Berichtslink kopieren
https://skillstore.io/skills/easysoft-zentao-api/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown-Badge
[](https://skillstore.io/skills/easysoft-zentao-api?utm_source=security_passport_badge)HTML-Badge
<a href="https://skillstore.io/skills/easysoft-zentao-api?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/easysoft-zentao-api/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Einbettungskarte
<iframe src="https://skillstore.io/embed/skills/easysoft-zentao-api.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Wissenschaftliche Zitate (APA · BibTeX · CFF)
APA-Zitat
easysoft. (2026). zentao-api security audit report (audit version 4) [Author version 1.0.4]. Skillstore. https://skillstore.io/skills/easysoft-zentao-api/audits/4BibTeX-Zitat
@techreport{easysoft-easysoft-zentao-api-2026,
author = {easysoft},
title = {zentao-api security audit report (audit version 4)},
institution = {Skillstore},
year = {2026},
number = {4},
url = {https://skillstore.io/skills/easysoft-zentao-api/audits/4},
note = {Author version 1.0.4}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "zentao-api security audit report (audit version 4)"
version: "1.0.4"
type: report
authors:
- name: "easysoft"
date-released: "2026-07-06"
url: "https://skillstore.io/skills/easysoft-zentao-api/audits/4"
identifiers:
- type: other
value: "skillstore:easysoft-zentao-api:audit:4"
description: "Skillstore immutable audit report identifier"
Skillstore-Score
Warum dieser Score Evidenzvertrauen: Mittel 45
Architektur
100
Wartbarkeit
85
Inhalt
68
Gemeinschaft
100
Spezifikationskonformität
Was Sie erstellen können
Lieferstatus überprüfen
Aktive Projekte, Ausführungen und blockierte Arbeit prüfen, ohne API-URLs manuell zusammenzustellen.
Bugs und Testarbeit triagieren
Bugs und Testdatensätze mit konsistenten ZenTao-Feldern erstellen, filtern, lösen oder schließen.
Sprint-Aufgaben pflegen
Aufgaben, Anforderungen, Builds und Releases aktualisieren und dabei erforderliche Workflow-Felder beibehalten.
Diese Prompts ausprobieren
Aktive Projekte auflisten
Zeige aktive ZenTao-Projekte und liste ihre aktiven Ausführungen auf. Gib Namen, IDs, Verantwortliche und aktuellen Status an.
Produkt-Bugs finden
Finde offene Bugs für Produkt 12. Sortiere die neuesten zuerst und fasse Schweregrad, zuständige Person und Titel zusammen.
Einen bestätigten Bug erstellen
Bereite einen neuen Bug für Produkt 12 mit Titel, Schweregrad, Build und zugewiesenem Verantwortlichen vor. Bitte mich vor dem Erstellen um Bestätigung.
Release-Aktualisierungen koordinieren
Prüfe Bugs, Aufgaben und Builds für Projekt 8. Schlage Release-Aktionen vor und bestätige anschließend jede ZenTao-Schreiboperation vor der Ausführung.
Bewährte Praktiken
- Setze ZENTAO_URL und ZENTAO_TOKEN vor der Verwendung in Umgebungsvariablen.
- Bestätige alle Erstellungs-, Aktualisierungs-, Lösch- und Statusänderungsoperationen.
- Prüfe die Pflichtfelder in der API-Referenz, bevor Schreibanfragen gesendet werden.
Vermeiden
- Füge keine permanenten Tokens in Chat-Transkripte ein.
- Führe keine destruktiven Änderungen aus, ohne die Ziel-IDs zu bestätigen.
- Verlasse dich beim Erstellen von Story-, Epic- oder Requirement-Datensätzen nicht auf Standardwerte für grade.
Häufig gestellte Fragen
Womit verbindet sich dieser Skill?
Er verbindet sich mit ZenTao REST API v2.0 auf einem von dir bereitgestellten Server.
Benötigt er Zugangsdaten?
Ja. Er benötigt eine ZenTao-URL und entweder einen Token oder Zugangsdaten.
Kann er ZenTao-Datensätze ändern?
Ja. Er kann Datensätze erstellen, aktualisieren, löschen und ihren Status ändern, wenn du diese Aktionen genehmigst.
Welche Module werden abgedeckt?
Er deckt Projekte, Produkte, Ausführungen, Anforderungen, Bugs, Aufgaben, Tests, Releases, Benutzer, Dateien, Feedback und Tickets ab.
Unterstützt er Claude, Codex und Claude Code?
Ja. Der Bericht erklärt Unterstützung für Claude, Codex und Claude Code.
Wie funktioniert die Authentifizierung?
Er verwendet Umgebungsvariablen oder das Hilfsskript, um ZenTao-URL, Token und Konto abzurufen.
Entwicklerdetails
Autor
easysoftLizenz
MIT
Autorenversion
v1.0.4
Skillstore-Revision
r1
Ref.
72d5025b022c77f7a51bdf5c1637c689c80e89d1
Aktualität der Wartung
18.7.2026
Nutzung
3 Downloads · 89 Aufrufe
Dateistruktur