Dieser Bericht ist nicht in der angeforderten Sprache verfügbar. Stattdessen wird der maßgebliche englische Bericht angezeigt.

Versionierte Sicherheitsbewertung

Berichts-ID: SA-C993C6AB

11/6/2026, 3:33:19 PM

pptx-nova Sicherheitsbewertung v1

Zertifizierungsbericht zur Skill-Sicherheit

Audit-Verlauf
Scanner-Version 3.0.0 Auditmodell: codex Zuletzt veröffentlichter Bericht
Skillname
pptx-nova
Version
v1
Betreuer
hustcer
Quelle
github.com/hustcer/pptx-nova/tree/9387fc26897dbe27564fb0864fc6f81e2b47aa9a/pptx-nova
Abdeckung
713 Gescannte Dateien · 182,283 Analysierte Zeilen
Richtlinienversion
skillstore-security-audit-policy-v1

Current license

Unbekannt

Zusammenfassung bestätigter Befunde

Keine bestätigten Sicherheitsbefunde

Das abgeschlossene Audit hat keine bestätigten Sicherheitsbefunde ergeben. Dies ist kein Beweis dafür, dass der Skill keine Nebenwirkungen hat.

Installationskontext

Überprüfen Sie die aktuelle Skill-Seite

Diese Seite fasst nur die Berichtsnachweise zusammen. Die Skill-Seite enthält den maßgeblichen Installationshinweis.

Aktuelle Skill-Seite öffnen

Dieser Bericht blockiert oder autorisiert weder das Manifest noch die ZIP-Datei.

Reviewed all 1,000 supplied findings; most are syntax, multilingual text, local workflow operations, or explicit safety prohibitions. Confirmed risks concern executable JavaScript content loading and predictable shared temporary log redirection; no evidence found of malicious exfiltration or audit-directed prompt injection. The static cap leaves 4,842 additional matches unadjudicated, so this review does not establish publication readiness. Static review was capped at 1000/5842 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

Position melden

Zuletzt veröffentlichter Bericht

„Zuletzt“ bezieht sich auf die Berichtsreihenfolge, nicht auf die Aktualität des Artefakts.

Audit-Nachweis

Aktive Attestierung

Für genau diesen Bericht ist eine öffentliche Attestierung verfügbar.

Menschliche Überprüfung

Nicht überprüft

Für diesen Bericht ist keine menschliche Überprüfung verzeichnet.

Abdeckung

713 Gescannte Dateien · 182,283 Analysierte Zeilen

3 Elemente zur Überprüfung angezeigt

Einschränkungen

Dieser Bericht beansprucht keine Laufzeit- oder Sandbox-Ausführung und beweist nicht das Fehlen von Nebenwirkungen.

Beweiskette

Folgen Sie den Nachweisen von der Quellenbindung bis zum Installationsvertrag. Verfügbare Nachweise unterstützen die Überprüfung; sie sind keine Sicherheitsgarantie.

  1. Quelle

    An Commit und Pfad gebunden

  2. Artefakt

    An Inhalts- und Baum-Hashes gebunden

  3. Prüfung

    Vollständig

  4. Installationsvertrag

    Manifest zur Überprüfung öffnen

    Manifest öffnen

Beobachtete Funktionen

„Beobachtet“ bedeutet, dass dieser Bericht unterstützende Nachweise erfasst hat. Nicht erfasst bedeutet nicht, dass eine Fähigkeit nicht vorhanden ist.

Enthält Skripte

Kann mit dem Skill enthaltenen Code ausführen.

An 7 Nachweisstellen beobachtet

Netzwerkzugriff

Kann eine Verbindung zu externen Diensten herstellen.

An 50 Nachweisstellen beobachtet

Dateisystemzugriff

Kann lokale Dateien lesen oder schreiben.

An 51 Nachweisstellen beobachtet

Umgebungsvariablen

Kann Werte aus der Prozessumgebung lesen.

An 28 Nachweisstellen beobachtet

Externe Befehle

Kann Befehle oder Programme außerhalb des Skills aufrufen.

An 51 Nachweisstellen beobachtet

Elemente der Fähigkeitsprüfung (3)
Mittel
assets/deckkits/shared/core-primitives.kit.mjs:321
Dynamic import() expression
const mod = await import(join(process.cwd(), path))
loadContent imports supplied .js or .mjs content paths before validation, executing their top-level code with user privileges. Untrusted content can therefore execute arbitrary code.
Mittel
references/runtime/daemon-sessions.md:51
nohup (background persistent process)
nohup xdoc daemon start >/tmp/xdoc-daemon.log 2>&1 &
The example redirects daemon output to predictable /tmp/xdoc-daemon.log without exclusive creation. A precreated symlink can redirect writes where platform protections permit.
Mittel
references/runtime/daemon-sessions.md:51
Temp directory access
nohup xdoc daemon start >/tmp/xdoc-daemon.log 2>&1 &
The example redirects daemon output to predictable /tmp/xdoc-daemon.log without exclusive creation. A precreated symlink can redirect writes where platform protections permit.

Risikofunde

Bestätigte Sicherheitsbedenken werden von Punkten getrennt, die noch überprüft werden müssen.

Für dieses abgeschlossene Audit wurden keine bestätigten Sicherheitsbefunde erfasst.

Abhilfemaßnahmen

Von diesem Audit vorgeschlagene Korrekturen wurden erfasst. Ihre Umsetzung liegt in der Verantwortung des Maintainers.

  1. FIX-001
    Hoch
    The supplied static review is capped at 1,000 of 5,842 matches.
    Complete manual adjudication of the remaining 4,842 matches before automatic publication; retain this review coverage limitation.
  2. FIX-002
    Mittel
    Static review capped
    Manually review the omitted 4842 static analyzer matches or reduce bundled generated/vendor/reference content before enabling automatic publication.
  3. FIX-003
    Mittel
    JavaScript content files execute during loadContent.
    Accept data-only JSON by default; require explicit trusted-code opt-in or isolated execution before importing JavaScript content modules.
  4. FIX-004
    Mittel
    The daemon example writes to a predictable shared temporary log.
    Allocate logs inside a private mktemp directory with restrictive permissions and exclusive creation instead of redirecting to /tmp/xdoc-daemon.log.

Expertennachweise

Unveränderliche Subjektidentität, Scanner-Metadaten, verworfene Treffer und Nachweise auf Quellcodeebene.

Artefakt-Subjekt

Marketplace-Commit
c993c6abcbffafea2683d7748b53b3dfaf438415
Inhalts-Hash
22f344139d0a7ba92111a941d4a684ed5e0f8b3ccbf809713be7a3b0075995cc
Tree-Hash
3eeef03d2706173fa70f4f3b4f605320b0a48b9a2fd33696de23af03df928ca9
Skill-Pfad
skills/hustcer/pptx-nova
Hash der Audit-Nutzlast
0026cae8492558ad0a0c6998154b9fa2

Analysemetadaten

Auditmodell: codex

Analysestatus: Vollständig

Der Umfang ist auf die aufgezeichneten Dateien, Zeilen, Methoden und Nachweise beschränkt. Es wird keine Ausführung in einer Laufzeitumgebung oder Sandbox beansprucht.

Verifizieren und exportieren

JSON-Bericht Signierte Audit-Bescheinigung CITATION.cff SARIF 2.1.0 Signiertes Installationsmanifest Quelle

Das Manifest und die Lockdatei binden Installationsartefakte an kryptografische Hashes. Diese Integritätsaussage ist von der Sicherheitsbewertung getrennt.

Audit-Nachweis: active