Fähigkeiten dependency-updater
📦

dependency-updater

v1.0.0 Inhaltsrevision r1 Hohes Risiko ⚙️ Externe Befehle📁 Dateisystemzugriff🌐 Netzwerkzugriff

Projektabhängigkeiten sicher aktualisieren

Abhängigkeitsaktualisierungen sind in verschiedenen Ökosystemen langsam und riskant. Dieser Skill erkennt Projekttypen, wendet sichere Aktualisierungen an und unterstützt Audits mit sprachspezifischen Befehlen.

Unterstützt: Claude Codex Code(CC)
⚠️ 38 Schlecht

Mit meinem Agent installieren

Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.

Agent-Anfrage
Review the Skillstore skill "dependency-updater" from https://skillstore.io/skills/softaworks-dependency-updater.md and its manifest at https://skillstore.io/api/skills/softaworks-dependency-updater/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.

Agent-lesbare Ressourcen

Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.

Markdown-Detailseite GET /skills/softaworks-dependency-updater.md Signiertes manifest GET /api/skills/softaworks-dependency-updater/manifest Signiertes lockfile GET /api/skills/softaworks-dependency-updater/lockfile

Testen

„dependency-updater“ wird verwendet. Aktualisiere Abhängigkeiten in dieser Node.js-App.

Erwartetes Ergebnis:

  • Node.js mit package.json und npm erkannt.
  • Sichere Minor- und Patch-Updates angewendet.
  • Zwei Major-Updates gefunden und vor deren Änderung eine Genehmigung angefordert.
  • Den Paketaudit ausgeführt und verbleibende Probleme gemeldet.

„dependency-updater“ wird verwendet. Diagnostiziere meine fehlschlagende Installation von Python-Abhängigkeiten.

Erwartetes Ergebnis:

  • Python-Projekt mit requirements.txt erkannt.
  • Installierte Pakete und Abhängigkeitskonflikte geprüft.
  • Eine saubere virtuelle Umgebung erst nach Erläuterung der Dateiauswirkungen vorgeschlagen.

„dependency-updater“ wird verwendet. Auditiere dieses Monorepo auf verwundbare Abhängigkeiten.

Erwartetes Ergebnis:

  • Mehrere Paket-Ökosysteme erkannt.
  • Die relevanten Audit-Tools für jedes Ökosystem ausgeführt.
  • Ergebnisse nach Schweregrad gruppiert und weitere Verifizierungsschritte aufgelistet.

Sicherheitsaudit

Hohes Risiko
v4 • 7.7.2026 Versionsbericht öffnen

Most Markdown backtick findings are false positives caused by code fences, tables, or documentation links. Real risks remain because the skill and helper scripts run local package managers, can fetch unpinned tools, and include emergency reset commands that delete dependency artifacts. No prompt injection text or data exfiltration intent was found.

4
Gescannte Dateien
833
Analysierte Zeilen
20
Prüfelemente
0
Falschmeldungen ignoriert

Bestätigte Sicherheitsbedenken (3)

Hoch
SKILL.md:232-247README.md:240-262
Destructive Emergency Reset Commands
The instructions include rm-based resets for Node.js, Python, and Go dependency state. If an agent follows these during diagnosis without confirmation, it can delete lock files, virtual environments, and module checksum files.
The deletion commands are explicit in both the skill instructions and README. They are legitimate recovery steps, but the data-loss impact is clear if run automatically.
Mittel
scripts/check-tool.sh:4-14
Dynamic Helper Command Execution
scripts/check-tool.sh accepts a tool name from its first argument and invokes that value with a version flag. Quoting reduces shell injection risk, but arbitrary local tool execution remains possible if the helper is called with untrusted input.
The script directly assigns TOOL_NAME from $1 and later uses it as the command name. The behavior is visible in one short helper file, but intended allowlisted usage lowers confidence from very high.
Mittel
SKILL.md:344-350README.md:177-184
Unpinned Tool Installation Recommendations
The skill recommends global or one-time installation of dependency tools without version pinning. Fetching latest tool code during a dependency update workflow adds supply-chain risk.
The installation commands are plainly documented and several install latest versions from package ecosystems. No malicious registry or domain is shown, so the risk is supply-chain exposure rather than confirmed abuse.
Elemente der Fähigkeitsprüfung (20)

Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.

Hoch
SKILL.md:232-247
Ruby/shell backtick execution
```bash
This block includes rm-based reset commands that delete dependency directories, lock files, virtual environments, or module checksum files. Those commands can cause data loss if followed without explicit confirmation.
Mittel
scripts/check-tool.sh:1
Unix shell invocation
#!/bin/bash
This is a Bash helper used by the skill, and the file later executes a tool name supplied as an argument. It is legitimate dependency tooling but still creates local command execution risk.
Mittel
scripts/run-taze.sh:1
Unix shell invocation
#!/bin/bash
This Bash helper invokes taze with user-provided arguments, which can rewrite dependency files. It is intended behavior but confirms external command execution risk.
Mittel
SKILL.md:104-123
Ruby/shell backtick execution
```bash
This block instructs the agent to run local package-manager commands that can modify dependencies, install packages, or query dependency trees. That is legitimate for the skill but confirms external command execution risk.
Mittel
SKILL.md:127-140
Ruby/shell backtick execution
```bash
This block instructs the agent to run local package-manager commands that can modify dependencies, install packages, or query dependency trees. That is legitimate for the skill but confirms external command execution risk.
Mittel
SKILL.md:144-156
Ruby/shell backtick execution
```bash
This block instructs the agent to run local package-manager commands that can modify dependencies, install packages, or query dependency trees. That is legitimate for the skill but confirms external command execution risk.
Mittel
SKILL.md:160-169
Ruby/shell backtick execution
```bash
This block instructs the agent to run local package-manager commands that can modify dependencies, install packages, or query dependency trees. That is legitimate for the skill but confirms external command execution risk.
Mittel
SKILL.md:173-185
Ruby/shell backtick execution
```bash
This block instructs the agent to run local package-manager commands that can modify dependencies, install packages, or query dependency trees. That is legitimate for the skill but confirms external command execution risk.
Mittel
SKILL.md:189-199
Ruby/shell backtick execution
```bash
This block instructs the agent to run local package-manager commands that can modify dependencies, install packages, or query dependency trees. That is legitimate for the skill but confirms external command execution risk.
Mittel
SKILL.md:203-212
Ruby/shell backtick execution
```bash
This block instructs the agent to run local package-manager commands that can modify dependencies, install packages, or query dependency trees. That is legitimate for the skill but confirms external command execution risk.
Mittel
SKILL.md:212-226
Ruby/shell backtick execution
```
This diagnosis section recommends package manager repair or analysis commands such as audit fix, depcheck, or dedupe. These are legitimate dependency actions but can modify dependency state or rely on local command execution.
Mittel
SKILL.md:226
Ruby/shell backtick execution
| **Security Vuln** | `npm audit` shows issues | `npm audit fix` or manual update |
This diagnosis section recommends package manager repair or analysis commands such as audit fix, depcheck, or dedupe. These are legitimate dependency actions but can modify dependency state or rely on local command execution.
Mittel
SKILL.md:227-228
Ruby/shell backtick execution
| **Unused Deps** | Bloated bundle | Run `depcheck` (Node) or equivalent |
This diagnosis section recommends package manager repair or analysis commands such as audit fix, depcheck, or dedupe. These are legitimate dependency actions but can modify dependency state or rely on local command execution.
Mittel
SKILL.md:228-232
Ruby/shell backtick execution
| **Duplicate Deps** | Multiple versions installed | Run `npm dedupe` or equivalent |
This diagnosis section recommends package manager repair or analysis commands such as audit fix, depcheck, or dedupe. These are legitimate dependency actions but can modify dependency state or rely on local command execution.
Mittel
SKILL.md:255-275
Ruby/shell backtick execution
```bash
This block instructs the agent to run ecosystem audit tools across multiple languages. Most are read-only, but they are still external commands in the user project.
Mittel
SKILL.md:344-350
Ruby/shell backtick execution
```bash
This block recommends global installation and npx execution of taze, which can fetch and run external package code. It is relevant dependency tooling but carries unpinned supply-chain risk.
Mittel
SKILL.md:354-370
Ruby/shell backtick execution
```bash
This block instructs the agent to run local package-manager commands that can modify dependencies, install packages, or query dependency trees. That is legitimate for the skill but confirms external command execution risk.
Mittel
SKILL.md:426-430
Ruby/shell backtick execution
```bash
This block runs package-manager diagnostics against the local dependency tree. These are lower-impact commands, but they still confirm external command execution in the user project.
Mittel
SKILL.md:454-457
Ruby/shell backtick execution
```bash
This block runs package-manager diagnostics against the local dependency tree. These are lower-impact commands, but they still confirm external command execution in the user project.
Mittel
SKILL.md:460-468
Ruby/shell backtick execution
```bash
This block instructs the agent to run local package-manager commands that can modify dependencies, install packages, or query dependency trees. That is legitimate for the skill but confirms external command execution risk.

Risikofaktoren

⚙️ Externe Befehle (74)
scripts/check-tool.sh:1 scripts/run-taze.sh:1 SKILL.md:17-19 SKILL.md:19-41 SKILL.md:41 SKILL.md:42 SKILL.md:43 SKILL.md:44 SKILL.md:45 SKILL.md:46 SKILL.md:47 SKILL.md:55 SKILL.md:56 SKILL.md:57 SKILL.md:58 SKILL.md:64-96 SKILL.md:96-104 SKILL.md:104-123 SKILL.md:123-127 SKILL.md:127-140 SKILL.md:140-144 SKILL.md:144-156 SKILL.md:156-160 SKILL.md:160-169 SKILL.md:169-173 SKILL.md:173-185 SKILL.md:185-189 SKILL.md:189-199 SKILL.md:199-203 SKILL.md:203-212 SKILL.md:212-226 SKILL.md:226 SKILL.md:227-228 SKILL.md:228-232 SKILL.md:232-247 SKILL.md:247-255 SKILL.md:255-275 SKILL.md:275-321 SKILL.md:321-322 SKILL.md:322-323 SKILL.md:323-324 SKILL.md:324-325 SKILL.md:325-326 SKILL.md:326-327 SKILL.md:327-328 SKILL.md:328-329 SKILL.md:329-330 SKILL.md:330-344 SKILL.md:344-350 SKILL.md:350-354 SKILL.md:354-370 SKILL.md:370-378 SKILL.md:378-379 SKILL.md:379-388 SKILL.md:388-394 SKILL.md:394-400 SKILL.md:400 SKILL.md:401 SKILL.md:402 SKILL.md:403 SKILL.md:404-408 SKILL.md:408-416 SKILL.md:416-426 SKILL.md:426-430 SKILL.md:430-433 SKILL.md:433-440 SKILL.md:440-443 SKILL.md:443-449 SKILL.md:449-454 SKILL.md:454-457 SKILL.md:457-460 SKILL.md:460-468 SKILL.md:468-478 SKILL.md:478-479
📁 Dateisystemzugriff (3)
scripts/check-tool.sh:12 scripts/check-tool.sh:14 scripts/run-taze.sh:9
🌐 Netzwerkzugriff (5)
SKILL.md:487 SKILL.md:488 SKILL.md:489 SKILL.md:490 SKILL.md:491
Geprüft von: codex Audit-Verlauf anzeigen →
Diesen Bericht teilen & zitieren

Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.

Versionsbericht öffnen
Sicherheitsbewertung

Berichtslink kopieren

https://skillstore.io/skills/softaworks-dependency-updater/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown-Badge

[![Skillstore security assessment](https://skillstore.io/badges/skills/softaworks-dependency-updater/security.svg)](https://skillstore.io/skills/softaworks-dependency-updater?utm_source=security_passport_badge)

HTML-Badge

<a href="https://skillstore.io/skills/softaworks-dependency-updater?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/softaworks-dependency-updater/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Einbettungskarte

<iframe src="https://skillstore.io/embed/skills/softaworks-dependency-updater.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
Wissenschaftliche Zitate (APA · BibTeX · CFF)

APA-Zitat

softaworks. (2026). dependency-updater security audit report (audit version 4) [Author version 1.0.0]. Skillstore. https://skillstore.io/skills/softaworks-dependency-updater/audits/4

BibTeX-Zitat

@techreport{softaworks-softaworks-dependency-updater-2026, author = {softaworks}, title = {dependency-updater security audit report (audit version 4)}, institution = {Skillstore}, year = {2026}, number = {4}, url = {https://skillstore.io/skills/softaworks-dependency-updater/audits/4}, note = {Author version 1.0.0} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "dependency-updater security audit report (audit version 4)" version: "1.0.0" type: report authors: - name: "softaworks" date-released: "2026-07-07" url: "https://skillstore.io/skills/softaworks-dependency-updater/audits/4" identifiers: - type: other value: "skillstore:softaworks-dependency-updater:audit:4" description: "Skillstore immutable audit report identifier"

Varianten vergleichen

2 installierbare Varianten

Jeder Autor bleibt ein eigener installierbarer Skill. Die empfohlene Variante wird nach Skillstore-Nachweisen bewertet.

Warum diese Variante zuerst steht

Höchster Skillstore-Score
CuriousLearner Empfohlen

curiouslearner-dependency-updater

Skillstore-Score 78
Evidenzvertrauen Hoch
Skillstore-Nutzung 42
Aktualisiert

2026-09-09

softaworks Aktuell

softaworks-dependency-updater

Skillstore-Score 38
Evidenzvertrauen Mittel
Skillstore-Nutzung 19
Aktualisiert

2026-09-09

Skillstore-Score

Warum dieser Score Evidenzvertrauen: Mittel
59
Architektur
100
Wartbarkeit
85
Inhalt
70
Gemeinschaft
83
Spezifikationskonformität

Was Sie erstellen können

Regelmäßige Anwendungswartung

Halten Sie Projektabhängigkeiten aktuell und trennen Sie sichere Patch-Updates von riskanten Major-Upgrades.

Vorbereitung von Wartungs-Pull-Requests

Bereiten Sie Branches für Abhängigkeitsaktualisierungen mit geänderten Dateien, Audit-Ausgabe und einer klaren Verifizierungscheckliste vor.

Triage von Abhängigkeitsschwachstellen

Führen Sie Audit-Tools des jeweiligen Ökosystems aus und priorisieren Sie verwundbare Abhängigkeiten nach Schweregrad und Behebungsweg.

Diese Prompts ausprobieren

Mein Projekt prüfen 
Erkenne den Projekttyp in diesem Repository und liste veraltete Abhängigkeiten auf. Ändere noch keine Dateien.
Sichere Updates anwenden 
Aktualisiere nur Patch- und Minor-Abhängigkeiten, überspringe gepinnte Versionen und fasse anschließend geänderte Dateien und Versionen zusammen.
Major-Updates prüfen 
Suche nach Major-Abhängigkeitsaktualisierungen, erkläre wahrscheinliche Breaking Changes und frage mich zu jedem Paket, bevor du Änderungen vornimmst.
Multi-Ökosystem-Repository auditieren 
Erkenne jedes Paket-Ökosystem in diesem Monorepo, führe die relevanten Audit-Tools aus, wende genehmigte Korrekturen an und erstelle eine Verifizierungscheckliste.

Bewährte Praktiken

  • Committen Sie Lock-Dateien vor und nach Abhängigkeitsänderungen.
  • Prüfen Sie Changelogs und Migrationshinweise, bevor Sie Major-Updates genehmigen.
  • Führen Sie nach jedem Aktualisierungsbatch Tests und Sicherheitsaudits aus.

Vermeiden

  • Jedes Major-Update automatisch ohne Prüfung genehmigen.
  • Lock-Dateien löschen, ohne den Wiederherstellungsplan zu verstehen.
  • Audit-Ergebnisse nach Abhängigkeitsaktualisierungen ignorieren.

Häufig gestellte Fragen

Unterstützt dieser Skill jede Programmiersprache?
Es unterstützt die aufgeführten Ökosysteme über deren Paketdateien und lokale Paketmanager-Tools.
Wendet er Major-Updates automatisch an?
Nein. Der Workflow fragt bei Major-Updates nach, da sie Breaking Changes enthalten können.
Kann er Sicherheitsaudits ausführen?
Ja. Er verwendet Audit-Tools des jeweiligen Ökosystems wie npm audit, pip-audit, govulncheck, cargo audit und bundle audit.
Installiert er erforderliche Tools automatisch?
Er dokumentiert Installationsbefehle und prüft Voraussetzungen, aber die Tool-Installation hängt vom Agenten und der Genehmigungsrichtlinie des Benutzers ab.
Welche Dateien können sich während Aktualisierungen ändern?
Abhängigkeitsmanifeste und Lock-Dateien können sich ändern, wenn Aktualisierungsbefehle im Schreibmodus oder Installationsbefehle ausgeführt werden.
Ist er sicher für Produktions-Repositorys?
Verwenden Sie ihn auf einem Branch, prüfen Sie Major-Updates, committen Sie Lock-Dateien und führen Sie Tests aus, bevor Sie Änderungen mergen.

Entwicklerdetails

Lizenz

MIT

Autorenversion

v1.0.0

Skillstore-Revision

r1

Repository

https://github.com/softaworks/agent-toolkit/tree/main/skills/dependency-updater/

Ref.

f93e9bb0daca99badb6a7e574b97737155d57cb3

Aktualität der Wartung

18.7.2026

Nutzung

8 Downloads · 203 Aufrufe

Dateistruktur

📁 scripts/

📄 check-tool.sh

📄 run-taze.sh

📄 README.md

📄 SKILL.md

Mehr von softaworks

Alle anzeigen

Ähnliche Skills

Alle anzeigen