Dieser Bericht ist nicht in der angeforderten Sprache verfügbar. Stattdessen wird der maßgebliche englische Bericht angezeigt.

Versionierte Sicherheitsbewertung

Berichts-ID: SA-3045E4FB

6/30/2026, 10:45:15 AM

app-store-screenshots Sicherheitsbewertung v2

Zertifizierungsbericht zur Skill-Sicherheit

Audit-Verlauf
Auditmodell: codex Historischer Bericht
Skillname
app-store-screenshots
Version
v2
Betreuer
ParthJadhav
Quelle
github.com/ParthJadhav/app-store-screenshots/tree/main/skills/app-store-screenshots/
Abdeckung
1 Gescannte Dateien · 335 Analysierte Zeilen
Richtlinienversion
Nicht verfügbar

Höchster bestätigter Schweregrad eines Befunds

Mittel

2 bestätigte Sicherheitsbefunde erfordern Aufmerksamkeit.

Installationskontext

Historische Nachweise

Dieser Bericht beschreibt möglicherweise nicht das derzeit installierbare Artefakt. Öffnen Sie die aktuelle Skill-Seite für Installationshinweise.

Aktuelle Skill-Seite öffnen

Dieser Bericht blockiert oder autorisiert weder das Manifest noch die ZIP-Datei.

Static analysis reported many high-risk patterns, but review shows most are Markdown false positives from inline code, screenshot terminology, and words that matched cryptography heuristics. The confirmed risk is legitimate operational behavior: package installation, project scaffolding, filesystem writes, and local image export. No evidence found of prompt injection, credential access, obfuscation, malicious network exfiltration, or unauthorized screenshot upload.

Position melden

Historischer Bericht

Öffnen Sie den Auditverlauf, bevor Sie diesen Bericht zur Installation verwenden.

Audit-Nachweis

Nicht bescheinigungsfähig

Die erforderliche unveränderliche Bindung ist unvollständig.

Menschliche Überprüfung

Nicht überprüft

Für diesen Bericht ist keine menschliche Überprüfung verzeichnet.

Abdeckung

1 Gescannte Dateien · 335 Analysierte Zeilen

2 Elemente zur Überprüfung angezeigt

Einschränkungen

Dieser Bericht beansprucht keine Laufzeit- oder Sandbox-Ausführung und beweist nicht das Fehlen von Nebenwirkungen.

Beweiskette

Folgen Sie den Nachweisen von der Quellenbindung bis zum Installationsvertrag. Verfügbare Nachweise unterstützen die Überprüfung; sie sind keine Sicherheitsgarantie.

  1. Quelle

    Bindung nicht verfügbar

  2. Artefakt

    Identität unvollständig

  3. Prüfung

    Vollständig

  4. Installationsvertrag

    Manifest zur Überprüfung öffnen

    Manifest öffnen

Beobachtete Funktionen

„Beobachtet“ bedeutet, dass dieser Bericht unterstützende Nachweise erfasst hat. Nicht erfasst bedeutet nicht, dass eine Fähigkeit nicht vorhanden ist.

Enthält Skripte

Kann mit dem Skill enthaltenen Code ausführen.

Durch dieses Audit nicht erfasst

Netzwerkzugriff

Kann eine Verbindung zu externen Diensten herstellen.

An 2 Nachweisstellen beobachtet

Dateisystemzugriff

Kann lokale Dateien lesen oder schreiben.

An 2 Nachweisstellen beobachtet

Umgebungsvariablen

Kann Werte aus der Prozessumgebung lesen.

Durch dieses Audit nicht erfasst

Externe Befehle

Kann Befehle oder Programme außerhalb des Skills aufrufen.

An 1 Nachweisstelle beobachtet

Risikofunde

Bestätigte Sicherheitsbedenken werden von Punkten getrennt, die noch überprüft werden müssen.

Bestätigte Sicherheitsbedenken (2)

RISK-001 Mittel
SKILL.md:52-74
Package Installation and Project Scaffolding Commands
The skill instructs the agent to detect package managers, scaffold a Next.js project, and install html-to-image. This is expected for the stated workflow, but it can download third-party code and modify the current workspace, so users should review commands before execution.
The package-manager commands are explicit and affect the workspace. I found no suspicious endpoint, obfuscation, or command injection pattern, so the concern is operational risk rather than malicious intent.
RISK-002 Niedrig
SKILL.md:48-55
System Reconnaissance Finding Is Low-Risk Tool Detection
The skill tells the agent to check which package manager exists before choosing install commands. This reveals minimal local environment information and is directly related to setup.
The command checks for common package-manager binaries only. It does not enumerate secrets, users, network configuration, or broader system state.

Expertennachweise

Unveränderliche Subjektidentität, Scanner-Metadaten, verworfene Treffer und Nachweise auf Quellcodeebene.

Artefakt-Subjekt

Marketplace-Commit
Nicht verfügbar
Inhalts-Hash
Nicht verfügbar
Tree-Hash
Nicht verfügbar
Skill-Pfad
Nicht verfügbar
Hash der Audit-Nutzlast
Nicht verfügbar

Analysemetadaten

Auditmodell: codex

Analysestatus: Vollständig

Der Umfang ist auf die aufgezeichneten Dateien, Zeilen, Methoden und Nachweise beschränkt. Es wird keine Ausführung in einer Laufzeitumgebung oder Sandbox beansprucht.

Statische falsch positive Treffer ignoriert (2)
Niedrig
SKILL.md:22-23SKILL.md:291-303SKILL.md:313-334
Screen Capture Upload Finding Is a False Positive
The skill asks the user for local app screenshot and icon files, then describes browser-based export with html-to-image. No evidence found that it uploads screenshots or captured images to a remote service.
The cited lines discuss local source assets and local PNG export behavior. There is no instruction to transmit captures to an external domain or service.
Niedrig
SKILL.md:3SKILL.md:27SKILL.md:40SKILL.md:79SKILL.md:112SKILL.md:129-130SKILL.md:134SKILL.md:149SKILL.md:168SKILL.md:178SKILL.md:199-203SKILL.md:259SKILL.md:325SKILL.md:332-333
Weak Cryptography Findings Are False Positives
The weak-cryptography static hits occur in prose, Markdown, dimensions, and design guidance. No cryptographic algorithm, hash function call, encryption code, or credential handling appears in the skill text.
The flagged lines are natural-language instructions and UI sizing examples, not cryptographic code. The file contains no executable crypto implementation to evaluate.

Verifizieren und exportieren

JSON-Bericht CITATION.cff SARIF 2.1.0 Signiertes Installationsmanifest

Das Manifest und die Lockdatei binden Installationsartefakte an kryptografische Hashes. Diese Integritätsaussage ist von der Sicherheitsbewertung getrennt.

Audit-Nachweis: not_attestable