📦

zentao-tour

Name: zentao-tour
Author: easysoft

v0.1.2 Inhaltsrevision r1 Mittleres Risiko 🌐 Netzwerkzugriff📁 Dateisystemzugriff⚙️ Externe Befehle

ZenTao-Workflows nach Rolle erkunden

Neue ZenTao-Nutzer haben oft Schwierigkeiten, Rollen, Objekte und Befehlszeilenaktionen miteinander zu verknüpfen. Dieser Skill führt durch einen rollenbasierten Rundgang anhand realer ZenTao-Workflows.

Unterstützt: Claude Codex Code(CC)

⚠️ 50 Schlecht

Maintain this Skill? Claim it ⚠️ 50 Schlecht

Dieser Skill ist Teil eines Skill-Pakets

Installieren Sie das gesamte Skill-Paket, um mit einem Befehl alle Skills zu erhalten, die die Aufgabe braucht.

zentao-fähigkeiten · 2 Skills Gesamtes Paket installieren

Mit meinem Agent installieren

Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.

Agent-Anfrage

Review the Skillstore skill "zentao-tour" from https://skillstore.io/skills/easysoft-zentao-tour.md and its manifest at https://skillstore.io/api/skills/easysoft-zentao-tour/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.

Agent-lesbare Ressourcen

Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.

Markdown-Detailseite GET /skills/easysoft-zentao-tour.md Signiertes manifest GET /api/skills/easysoft-zentao-tour/manifest Signiertes lockfile GET /api/skills/easysoft-zentao-tour/lockfile

Testen

„zentao-tour“ wird verwendet. Ich möchte den Produktmanager-Pfad ausprobieren.

Erwartetes Ergebnis:

Der Skill fragt nach einer Produktidee, hilft bei der Benennung, erfasst einige Anforderungen und gruppiert ausgewählte Elemente in einem ersten Plan.

„zentao-tour“ wird verwendet. Zeig mir, was ein Manager sehen kann, ohne Daten zu ändern.

Erwartetes Ergebnis:

Der Skill listet aktive Projekte auf, erklärt Zeitplan- und Fortschrittssignale und fasst den Produktzustand anhand von Anforderungen und Bugs zusammen.

„zentao-tour“ wird verwendet. Ich möchte Demodaten bereinigen.

Erwartetes Ergebnis:

Der Skill prüft erstellte Datensätze, fragt vor jeder Löschung nach Bestätigung und führt die Bereinigung erst nach Genehmigung aus.

Sicherheitsaudit

Mittleres Risiko

v4 • 5.7.2026 Versionsbericht öffnen

Most high-severity static alerts are false positives from Markdown links, Chinese prose, and documentation paths. The confirmed risks are the intended zentao-cli command flows that can read, create, update, and delete ZenTao records. No evidence of prompt injection or encoded payloads was found.

Gescannte Dateien

760

Analysierte Zeilen

Prüfelemente

Falschmeldungen ignoriert

Bestätigte Sicherheitsbedenken (2)

Mittel

SKILL.md:70-77 SKILL.md:109-113 roles/pm.md:32-35 roles/pjm.md:29-33 roles/test.md:57-65

Accidental ZenTao Data Mutation During Tour

The tour intentionally guides create, update, status transition, and delete actions in a connected ZenTao environment. The casual onboarding tone can cause unintended changes if used against production data.

Multiple role files and the main skill explicitly direct record creation, updates, state transitions, and deletion. The instructions require consent, so this is operational risk rather than clear malicious intent.

Mittel

overview.md:60-66 SKILL.md:83

Command-Line Credential Exposure in Login Guidance

The setup guidance shows zentao login with a password parameter and says credentials are cached under the user config directory. Password arguments can appear in shell history, process listings, or chat transcripts.

The login command examples directly include a password flag, and the overview describes credential caching. This is common CLI guidance but creates a concrete secret exposure risk.

Elemente der Fähigkeitsprüfung (5)

Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.

Mittel

SKILL.md:21

Ruby/shell backtick execution

2. **悄悄**做工具就绪检查(不要说"进入第 1 步")。直接跑 `zentao profile`,顺手说一句类似"我先确认下是哪个账号......" 。如果失败,参考 [overview.md]

The instruction tells the assistant to run zentao profile as a readiness check, which invokes a local CLI and may contact the user's ZenTao server. It is intended behavior, but it is still external command execution.

Mittel

SKILL.md:72

Ruby/shell backtick execution

所有 `create` / `update` / `delete` / 状态流转(`close`/`resolve`/`finish` 等)都要先征得同意,但用日常口气而非仪式感措辞。

The line establishes that the tour uses create, update, delete, and state transition commands. Consent is required, but the skill still directs mutating external operations.

Mittel

SKILL.md:75

Ruby/shell backtick execution

- 而说 "那我就用 `zentao product create --name="..."` 帮你建出来,OK?"

The example is a zentao product create command that can write records to a connected ZenTao instance. User confirmation reduces the risk but does not remove it.

Mittel

SKILL.md:83

Ruby/shell backtick execution

| E1001 / E1004 | "登录像是过期了,我们重登一下:`zentao login -s ... -u ... -p ...`" |

The login example includes a password parameter in a shell command. That can expose credentials through process listings, shell history, or chat transcripts.

Mittel

SKILL.md:113

Ruby/shell backtick execution

3. 如果用户想清数据,用 `zentao <module> delete <id> --yes` 帮他删,每条前再确认一次。

The line instructs the assistant to run delete commands with --yes for cleanup. It requires confirmation, but the command is destructive in the connected ZenTao system.

Risikofaktoren

🌐 Netzwerkzugriff (5)

overview.md:63 overview.md:81 SKILL.md:7 SKILL.md:118 SKILL.md:119

📁 Dateisystemzugriff (11)

overview.md:45 overview.md:66 overview.md:90 overview.md:66 overview.md:90 roles/dev.md:73 roles/executive.md:80 roles/pjm.md:92 roles/pm.md:131 roles/test.md:76 SKILL.md:77

⚙️ Externe Befehle (8)

SKILL.md:21 SKILL.md:72 SKILL.md:75 SKILL.md:83 SKILL.md:84 SKILL.md:86 SKILL.md:98 SKILL.md:113

Geprüft von: codex Audit-Verlauf anzeigen →

Diesen Bericht teilen & zitieren

Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.

Versionsbericht öffnen

Berichtslink kopieren

https://skillstore.io/skills/easysoft-zentao-tour/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown-Badge

[![Skillstore security assessment](https://skillstore.io/badges/skills/easysoft-zentao-tour/security.svg)](https://skillstore.io/skills/easysoft-zentao-tour?utm_source=security_passport_badge)

HTML-Badge

<a href="https://skillstore.io/skills/easysoft-zentao-tour?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/easysoft-zentao-tour/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Einbettungskarte

<iframe src="https://skillstore.io/embed/skills/easysoft-zentao-tour.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Wissenschaftliche Zitate (APA · BibTeX · CFF)

APA-Zitat

easysoft. (2026). zentao-tour security audit report (audit version 4) [Author version 0.1.2]. Skillstore. https://skillstore.io/skills/easysoft-zentao-tour/audits/4

BibTeX-Zitat

@techreport{easysoft-easysoft-zentao-tour-2026,
  author = {easysoft},
  title = {zentao-tour security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/easysoft-zentao-tour/audits/4},
  note = {Author version 0.1.2}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "zentao-tour security audit report (audit version 4)"
version: "0.1.2"
type: report
authors:
  - name: "easysoft"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/easysoft-zentao-tour/audits/4"
identifiers:
  - type: other
    value: "skillstore:easysoft-zentao-tour:audit:4"
    description: "Skillstore immutable audit report identifier"

Skillstore-Score

Warum dieser Score Evidenzvertrauen: Hoch

Architektur

100

Wartbarkeit

Inhalt

Gemeinschaft

100

Spezifikationskonformität

Was Sie erstellen können

Produktmanager einarbeiten

Führt einen Produktmanager von einer Produktidee zu Anforderungen und einem ersten Produktplan.

Projektablauf vermitteln

Hilft einem Projektmanager, ein Projekt zu erstellen, einen Sprint zu öffnen, Aufgaben zuzuweisen und Statusänderungen zu prüfen.

Test-Workflows üben

Führt einen Tester von einer Anforderung zu Testfällen, einer Testaufgabe, einem Bug und dem Abschluss.

Diese Prompts ausprobieren

Einen Produktrundgang starten

Nimm mich als Produktmanager mit auf einen ZenTao-Rundgang. Hilf mir, ein Demoprodukt zu erstellen, und erkläre jedes Objekt.

Einen Sprint planen

Führe mich durch einen Projektmanager-Walkthrough. Verwende vorhandene Produkte, erstelle einen Sprint und zeige den Aufgabenstatusfluss, nachdem du zuerst gefragt hast.

Einen QA-Pfad durchlaufen

Führe mich durch meinen ZenTao-Test-Workflow von der Anforderung über Testfall, Testaufgabe, Bugbericht, Lösung und Abschluss.

Führungssignale prüfen

Nutze die Führungskräfteansicht, um Projekttempo, Produktzustand, Releases, Feedback und den nächsten zu prüfenden Bereich zusammenzufassen.

Bewährte Praktiken

Verwende einen Sandbox-ZenTao-Arbeitsbereich, wenn du Schreibabläufe ausprobierst.
Bestätige jede Erstellung, Aktualisierung, Löschung oder Statusänderung, bevor sie ausgeführt wird.
Verfolge die während eines Rundgangs erstellten IDs, damit die Bereinigung korrekt ist.

Vermeiden

Den Rundgang mit Produktionsdaten ohne Rollback-Plan ausführen.
Die Rollenauswahl überspringen und nicht zusammengehörige Workflows in einer Sitzung mischen.
Echte Passwörter oder Tokens in geteilte Chatprotokolle einfügen.