Fähigkeiten playwright-skill

📦

playwright-skill

Name: playwright-skill
Author: lackeyjb

Inhaltsrevision r1 Kritisch ⚙️ Externe Befehle🌐 Netzwerkzugriff📁 Dateisystemzugriff🔑 Umgebungsvariablen⚡ Enthält Skripte

Browser-Tests mit Playwright automatisieren

Manuelle Browser-Prüfungen sind langsam und leicht zu übersehen. Dieser Skill erstellt Playwright-Automatisierung für Seitentests, Formulare, Screenshots, responsive Prüfungen und Link-Prüfungen.

Unterstützt: Claude Codex Code(CC)

⚠️ 38 Schlecht

Diesen Skill nicht automatisch installieren.

Die maßgebliche Richtlinie verlangt vor jeder Installationsaktion eine Prüfung durch einen Bediener.

Mit meinem Agent installieren

Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.

Agent-Anfrage

Review the Skillstore skill "playwright-skill" from https://skillstore.io/skills/lackeyjb-playwright-skill.md and its manifest at https://skillstore.io/api/skills/lackeyjb-playwright-skill/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.

Agent-lesbare Ressourcen

Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.

Markdown-Detailseite GET /skills/lackeyjb-playwright-skill.md Signiertes manifest GET /api/skills/lackeyjb-playwright-skill/manifest Signiertes lockfile GET /api/skills/lackeyjb-playwright-skill/lockfile

Testen

„playwright-skill“ wird verwendet. Teste meine Marketing-Seite auf dem laufenden Dev-Server.

Erwartetes Ergebnis:

Einen lokalen Server erkannt und die Marketing-Seite geöffnet.
Desktop- und Mobile-Screenshots im temporären Verzeichnis erfasst.
Eine Überlappung in der mobilen Navigation und einen fehlenden Call-to-Action-Zustand gemeldet.

„playwright-skill“ wird verwendet. Prüfe, ob der Login korrekt weiterleitet.

Erwartetes Ergebnis:

Die Login-Seite geöffnet und das bereitgestellte Testkonto übermittelt.
Die Weiterleitung zum Dashboard nach erfolgreichem Login bestätigt.
Eine langsame Netzwerkanfrage vermerkt, die den Bereitschaftszustand verzögert hat.

„playwright-skill“ wird verwendet. Finde defekte ausgehende Links auf dieser Seite.

Erwartetes Ergebnis:

Sichtbare ausgehende Links von der Seite gesammelt.
Die Antwort jedes Links geprüft und Fehler zusammengefasst.
Die Liste defekter Links mit Statuscodes und Seitenkontext zurückgegeben.

Sicherheitsaudit

Kritisch

v4 • 6.7.2026 Versionsbericht öffnen

Most static findings are false positives from Markdown examples and JavaScript template literals. Real risks remain in the local JavaScript executor, automatic installation commands, disabled Chromium sandbox flags, localhost port probing, and environment-derived request headers.

Gescannte Dateien

1,779

Analysierte Zeilen

Prüfelemente

Falschmeldungen ignoriert

Bestätigte Sicherheitsbedenken (4)

Kritisch

run.js:52-73 run.js:121-173 run.js:201-209

Arbitrary JavaScript Execution Surface

run.js accepts automation code from a file path, inline argument, or stdin, writes it to a temporary file, and require()s it. A malicious or mistaken script can run with local Node permissions.

The code path from accepted input to generated file to require(tempFile) is direct. This is intentional executor behavior, but it is still arbitrary local code execution.

Hoch

lib/helpers.js:47

UID/GID manipulation

args: ['--no-sandbox', '--disable-setuid-sandbox']

The browser launch args include --no-sandbox and --disable-setuid-sandbox. Disabling Chromium sandbox protections increases impact if browser content is compromised.

Mittel

lib/helpers.js:15-28 lib/helpers.js:351-366

Environment Headers Can Be Forwarded to Visited Sites

The helper reads PW_HEADER_VALUE and PW_EXTRA_HEADERS from environment variables and merges them into browser extraHTTPHeaders. Secrets placed there can be sent to every target origin used with the helper.

The source environment variables are parsed and later assigned to extraHTTPHeaders. The risk depends on user configuration and target origin, so medium severity is appropriate.

Niedrig

lib/helpers.js:392

System reconnaissance

hostname: 'localhost',

The helper probes common localhost ports to discover development servers. It is disclosed behavior, but it still enumerates local services.

Elemente der Fähigkeitsprüfung (22)

Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.

Kritisch

run.js:209

Dynamic require with variable

require(tempFile);

The executor require()s a temporary file built from file, argument, or stdin input. That is arbitrary JavaScript execution with local Node permissions.

Hoch

run.js:15

Node.js child_process module

const { execSync } = require('child_process');

run.js imports child_process and later uses execSync for installation commands. The capability is real external command execution in the skill runtime.

Hoch

run.js:38

Synchronous process execution

execSync('npm install', { stdio: 'inherit', cwd: __dirname });

The executor runs npm install automatically when Playwright is missing. That command can execute package lifecycle behavior and changes local dependencies.

Hoch

run.js:39

Synchronous process execution

execSync('npx playwright install chromium', { stdio: 'inherit', cwd: __dirname });

The executor runs npx playwright install chromium as a synchronous external command. This performs network-backed installation work from the skill runtime.

Hoch

run.js:121-156

Ruby/shell backtick execution

return `

This template literal embeds supplied automation code into a generated script. It is not Ruby execution, but it participates in arbitrary local JavaScript execution.

Hoch

run.js:161-173

Ruby/shell backtick execution

return `

This wrapper builds executable JavaScript around supplied code when an async wrapper is missing. The generated code is later loaded by the executor.

Hoch

run.js:205

Node.js fs operations

fs.writeFileSync(tempFile, code, 'utf8');

The executor writes generated automation code to a temporary JavaScript file. That file is then loaded, so the write is part of local code execution.

Hoch

run.js:205

Synchronous file operations

fs.writeFileSync(tempFile, code, 'utf8');

The executor synchronously writes generated code to a temporary JavaScript file. The file becomes executable input for require().

Mittel

lib/helpers.js:16

Environment variable access (dot notation)

const headerValue = process.env.PW_HEADER_VALUE;

The helper reads PW_HEADER_VALUE from process.env and can forward it as a browser header. Header values can contain tokens or other secrets.

Mittel

lib/helpers.js:22

Environment variable access (dot notation)

const headersJson = process.env.PW_EXTRA_HEADERS;

The helper reads PW_EXTRA_HEADERS from process.env and parses arbitrary header values. Those values may include sensitive authentication material.

Mittel

lib/helpers.js:16

Environment variable object

const headerValue = process.env.PW_HEADER_VALUE;

The helper accesses process.env for PW_HEADER_VALUE and can forward it to visited sites. This can expose sensitive user-provided header values.

Mittel

lib/helpers.js:22

Environment variable object

const headersJson = process.env.PW_EXTRA_HEADERS;

The helper accesses process.env for PW_EXTRA_HEADERS and parses them into browser headers. This can forward sensitive values to target origins.

Mittel

run.js:59

Node.js fs operations

return fs.readFileSync(filePath, 'utf8');

The executor reads a caller-provided file path as automation code. A mistaken or malicious path can expose local file contents to the execution path.

Mittel

run.js:71

Node.js fs operations

return fs.readFileSync(0, 'utf8');

The executor reads stdin as automation code. The file descriptor is expected, but this still forms an unreviewed code input path.

Mittel

run.js:59

Synchronous file operations

return fs.readFileSync(filePath, 'utf8');

The executor synchronously reads a caller-provided file path as automation code. This is real filesystem access tied to local code execution.

Mittel

run.js:71

Synchronous file operations

return fs.readFileSync(0, 'utf8');

The executor synchronously reads stdin as automation code. The risk is the unreviewed code input path, not ordinary data storage.

Niedrig

lib/helpers.js:391

HTTP/HTTPS request

const req = http.request({

detectDevServers sends HTTP HEAD requests to localhost ports. The scan is limited and documented, but it is real local network probing.

Niedrig

lib/helpers.js:391

HTTP client library

const req = http.request({

The helper creates HTTP requests for localhost server detection. This is legitimate functionality, but it is still network activity from the skill.

Niedrig

lib/helpers.js:399

Hardcoded URL

detectedServers.push(`http://localhost:${port}`);

The helper constructs localhost URLs for detected ports. The target is local and expected, so the security impact is low.

Niedrig

lib/helpers.js:15

Environment variable access (dot notation)

const headerName = process.env.PW_HEADER_NAME;

The helper reads PW_HEADER_NAME from process.env for outgoing browser headers. This is user-configured, but it affects what the browser sends.

Niedrig

lib/helpers.js:15

Environment variable object

const headerName = process.env.PW_HEADER_NAME;

The helper accesses process.env for PW_HEADER_NAME used in outgoing browser headers. This is expected but still environment-driven behavior.

Niedrig

run.js:56

Node.js fs stat operations

if (args.length > 0 && fs.existsSync(args[0])) {

The executor tests a user-supplied argument as a filesystem path before reading it. This is expected for script input but still expands filesystem access.

Risikofaktoren

⚙️ Externe Befehle (90)

API_REFERENCE.md:502-503 API_REFERENCE.md:530-538 API_REFERENCE.md:602-603 lib/helpers.js:54 lib/helpers.js:134 lib/helpers.js:137 lib/helpers.js:187 lib/helpers.js:195 lib/helpers.js:271 lib/helpers.js:334 lib/helpers.js:399 lib/helpers.js:400 run.js:15 run.js:38 run.js:39 run.js:58 run.js:121-156 run.js:161-173 run.js:201 SKILL.md:7 SKILL.md:11 SKILL.md:12 SKILL.md:13 SKILL.md:23-25 SKILL.md:25-31 SKILL.md:31-33 SKILL.md:33-41 SKILL.md:41-42 SKILL.md:42-48 SKILL.md:48-51 SKILL.md:51-59 SKILL.md:59-61 SKILL.md:61-65 SKILL.md:65-84 SKILL.md:84-88 SKILL.md:88-90 SKILL.md:90-96 SKILL.md:96-118 SKILL.md:118-122 SKILL.md:122-132 SKILL.md:132-144 SKILL.md:144-148 SKILL.md:148-158 SKILL.md:158-171 SKILL.md:171-175 SKILL.md:175-201 SKILL.md:201-202 SKILL.md:202-206 SKILL.md:206-210 SKILL.md:210-235 SKILL.md:235-239 SKILL.md:239-257 SKILL.md:257-269 SKILL.md:269-277 SKILL.md:277-283 SKILL.md:283-293 SKILL.md:293-302 SKILL.md:302-304 SKILL.md:304-325 SKILL.md:325-327 SKILL.md:327-341 SKILL.md:341-344 SKILL.md:344-348 SKILL.md:348-351 SKILL.md:351-355 SKILL.md:355-357 SKILL.md:357-361 SKILL.md:361-363 SKILL.md:363-365 SKILL.md:365-369 SKILL.md:369-386 SKILL.md:386-387 SKILL.md:387 SKILL.md:388-389 SKILL.md:389-390 SKILL.md:390-391 SKILL.md:391-392 SKILL.md:392-393 SKILL.md:393 SKILL.md:395-401 SKILL.md:401-403 SKILL.md:403-406 SKILL.md:406-409 SKILL.md:409-412 SKILL.md:412-416 SKILL.md:416-427 SKILL.md:427-429 SKILL.md:429-444 SKILL.md:444-451 SKILL.md:451-452

🌐 Netzwerkzugriff (21)

📁 Dateisystemzugriff (43)

🔑 Umgebungsvariablen (18)

API_REFERENCE.md:53 API_REFERENCE.md:54 API_REFERENCE.md:55 API_REFERENCE.md:72 API_REFERENCE.md:53 API_REFERENCE.md:54 API_REFERENCE.md:55 API_REFERENCE.md:72 lib/helpers.js:15 lib/helpers.js:16 lib/helpers.js:22 lib/helpers.js:45 lib/helpers.js:46 lib/helpers.js:15 lib/helpers.js:16 lib/helpers.js:22 lib/helpers.js:45 lib/helpers.js:46

⚡ Enthält Skripte (3)

lib/helpers.js:174 run.js:110 run.js:209

Erkannte Muster

UID/GID manipulationSystem reconnaissance

Geprüft von: codex Audit-Verlauf anzeigen →

Diesen Bericht teilen & zitieren

Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.

Versionsbericht öffnen

Berichtslink kopieren

https://skillstore.io/skills/lackeyjb-playwright-skill/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown-Badge

[![Skillstore security assessment](https://skillstore.io/badges/skills/lackeyjb-playwright-skill/security.svg)](https://skillstore.io/skills/lackeyjb-playwright-skill?utm_source=security_passport_badge)

HTML-Badge

<a href="https://skillstore.io/skills/lackeyjb-playwright-skill?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/lackeyjb-playwright-skill/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Einbettungskarte

<iframe src="https://skillstore.io/embed/skills/lackeyjb-playwright-skill.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Wissenschaftliche Zitate (APA · BibTeX · CFF)

APA-Zitat

lackeyjb. (2026). playwright-skill security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/lackeyjb-playwright-skill/audits/4

BibTeX-Zitat

@techreport{lackeyjb-lackeyjb-playwright-skill-2026,
  author = {lackeyjb},
  title = {playwright-skill security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/lackeyjb-playwright-skill/audits/4},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "playwright-skill security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
  - name: "lackeyjb"
date-released: "2026-07-06"
url: "https://skillstore.io/skills/lackeyjb-playwright-skill/audits/4"
identifiers:
  - type: other
    value: "skillstore:lackeyjb-playwright-skill:audit:4"
    description: "Skillstore immutable audit report identifier"

Varianten vergleichen

2 installierbare Varianten

Jeder Autor bleibt ein eigener installierbarer Skill. Die empfohlene Variante wird nach Skillstore-Nachweisen bewertet.

Warum diese Variante zuerst steht

Höhere Skillstore-Nutzung

Autor / Quelle Skillstore-Score Evidenzvertrauen Skillstore-Nutzung Aktualisiert

sickn33 Empfohlen

sickn33-playwright-skill

Skillstore-Score 38

Evidenzvertrauen Mittel

Skillstore-Nutzung 27

Aktualisiert

2026-09-09

lackeyjb Aktuell

lackeyjb-playwright-skill

Skillstore-Score 38

Evidenzvertrauen Mittel

Skillstore-Nutzung 17

Aktualisiert

2026-09-09

Skillstore-Score

Warum dieser Score Evidenzvertrauen: Mittel

Architektur

Wartbarkeit

Inhalt

Gemeinschaft

Spezifikationskonformität

Was Sie erstellen können

Eine lokale Web-App validieren

Den aktiven Dev-Server erkennen, wichtige Seiten öffnen und offensichtliche UI- oder Navigationsfehler melden.

Release-Abläufe prüfen

Responsive-Nachweise erfassen

Screenshots über gängige Gerätegrößen hinweg für Reviews, Fehlerberichte oder Designabnahmen erstellen.

Diese Prompts ausprobieren

Eine Seite testen

Erkenne meinen lokalen Dev-Server, öffne die Hauptseite, erstelle Desktop- und Mobile-Screenshots und melde sichtbare Layout-Probleme.

Einen Login-Ablauf verifizieren

Teste den Login-Ablauf in meiner lokalen App. Frage bei Bedarf nach Zugangsdaten und verifiziere anschließend das Weiterleitungsverhalten und sichtbare Erfolgsindikatoren.

Links und Formulare prüfen

Prüfe wichtige Links und ein Kontaktformular auf der bereitgestellten URL. Melde defekte Links, fehlgeschlagene Übermittlungen und Konsolenfehler.

Eine vollständige Browser-Prüfung ausführen

Erstelle eine Playwright-Prüfung für TARGET_URL, die responsive Screenshots, Login, defekte Links, Konsolenfehler und Seitenbereitschaft abdeckt. Frage nach, bevor du Befehle ausführst.

Bewährte Praktiken

Generierte Skripte prüfen, bevor sie gegen sensible Systeme ausgeführt werden.
Testkonten und temporäre Daten für Login- und Formularprüfungen verwenden.
Benutzerdefinierte Header auf vertrauenswürdige Ziel-Origins beschränken.

Vermeiden

Keine beliebigen Browser-Skripte aus nicht vertrauenswürdigen Prompts ohne Prüfung ausführen.
Produktionszugangsdaten standardmäßig nicht über Umgebungs-Header senden.
Screenshots nicht als vollständiges Barrierefreiheits- oder Sicherheitsaudit behandeln.