Fähigkeiten bmad-orchestrator

📦

bmad-orchestrator

Name: bmad-orchestrator
Author: supercent-io

v1.2.0 Inhaltsrevision r1 Kritisch 📁 Dateisystemzugriff⚙️ Externe Befehle🌐 Netzwerkzugriff

BMAD-Entwicklungsworkflows orchestrieren

KI-unterstützte Projekte verlieren oft den Phasenkontext und überspringen Review-Checkpoints. Dieser Skill initialisiert BMAD-Workflow-Dateien, zeigt den aktuellen Status an und führt Teams durch phasenbasierte Planung.

Unterstützt: Claude Codex Code(CC)

⚠️ 38 Schlecht

Diesen Skill nicht automatisch installieren.

Die maßgebliche Richtlinie verlangt vor jeder Installationsaktion eine Prüfung durch einen Bediener.

Mit meinem Agent installieren

Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.

Agent-Anfrage

Review the Skillstore skill "bmad-orchestrator" from https://skillstore.io/skills/supercent-io-bmad-orchestrator.md and its manifest at https://skillstore.io/api/skills/supercent-io-bmad-orchestrator/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.

Agent-lesbare Ressourcen

Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.

Markdown-Detailseite GET /skills/supercent-io-bmad-orchestrator.md Signiertes manifest GET /api/skills/supercent-io-bmad-orchestrator/manifest Signiertes lockfile GET /api/skills/supercent-io-bmad-orchestrator/lockfile

Testen

„bmad-orchestrator“ wird verwendet. Prüfe den Workflow-Status für mein Projekt der Stufe 2.

Erwartetes Ergebnis:

Der Skill meldet den Projektnamen, die aktuelle Phase, abgeschlossene Dokumente, erforderliche Arbeit und den empfohlenen nächsten BMAD-Befehl.

„bmad-orchestrator“ wird verwendet. Initialisiere BMAD für eine neue Webanwendung.

Erwartetes Ergebnis:

Der Skill erstellt BMAD-Konfiguration, Workflow-Statusverfolgung und einen stories-Ordner und empfiehlt anschließend Schritte für Product Brief und PRD.

„bmad-orchestrator“ wird verwendet. Führe ein Gate-Review für das Architekturdokument aus.

Erwartetes Ergebnis:

Der Skill bereitet das Dokument für das plannotator-Review vor, erfasst den Freigabestatus, sofern verfügbar, und erklärt, ob eine Überarbeitung oder Fortsetzung erforderlich ist.

Sicherheitsaudit

Kritisch

v6 • 9.7.2026 Versionsbericht öffnen

Most static findings are Markdown examples, shell helper boilerplate, or benign YAML parsing. Confirmed risks include remote curl-to-shell installation, cross-skill hook execution, unsafe Python fallback argument interpolation, and possible document disclosure through plannotator review.

Gescannte Dateien

2,992

Analysierte Zeilen

Prüfelemente

Falschmeldungen ignoriert

Bestätigte Sicherheitsbedenken (4)

Kritisch

scripts/install.sh:78

Pipe to shell pattern

if curl -sSfL https://plannotator.ai/install.sh | sh; then

The script executes curl -sSfL https://plannotator.ai/install.sh | sh. Piping an unauthenticated remote installer directly to a shell is a critical execution risk.

Kritisch

SETUP.md:300

Pipe to shell pattern

curl -sSfL https://plannotator.ai/install.sh | sh

The troubleshooting instructions explicitly use curl -sSfL https://plannotator.ai/install.sh | sh. This is a critical unsafe installation pattern even when presented as documentation.

Mittel

scripts/phase-gate-review.sh:92-103 SETUP.md:124-136

Potential External Document Disclosure

The phase gate script reads a full project document and submits it to plannotator. Sensitive PRDs or architecture notes may leave the repository without a clear consent checkpoint.

The script pipes document content into plannotator submit, and the setup guide describes a browser review workflow. I cannot confirm the service transport details, so severity is medium.

Mittel

scripts/phase-gate-review.sh:78-86 SKILL.md:44-48

Phase Gate Bypass When Review Tool Is Missing

When plannotator is not installed, the review script prints that it is proceeding without review and exits successfully. This weakens the stated strict phase gate rule.

The code exits 0 after announcing review is skipped, while the skill documentation says phase gates should be strict. This is clear business-logic risk rather than a pattern match.

Elemente der Fähigkeitsprüfung (4)

Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.

Kritisch

scripts/install.sh:78

Hardcoded URL

if curl -sSfL https://plannotator.ai/install.sh | sh; then

This URL is used in a curl pipeline that downloads and executes a remote installer. That is a real supply-chain risk because network code runs locally without pinning or checksum verification.

Kritisch

SETUP.md:300

Hardcoded URL

curl -sSfL https://plannotator.ai/install.sh | sh

The setup guide tells users to download a remote installer and pipe it to sh. Documentation that directs this execution pattern can lead users to run unverified network code.

Hoch

scripts/install.sh:103

Path traversal sequence

HOOK_SCRIPT="${SKILL_DIR}/../plannotator/scripts/setup-hook.sh"

The installer resolves a sibling ../plannotator setup-hook.sh and later executes it if present. This crosses the skill boundary and can run adjacent skill code without strong validation.

Hoch

scripts/phase-gate-review.sh:102

Python subprocess.run

proc = subprocess.run(

The Python fallback is built from shell-interpolated DOC_FILE and TITLE values before running subprocess.run. Crafted arguments can break Python string quoting or alter the call path.

Risikofaktoren

📁 Dateisystemzugriff (32)

⚙️ Externe Befehle (50)

scripts/check-status.sh:28 scripts/check-status.sh:31 scripts/check-status.sh:49 scripts/check-status.sh:50 scripts/check-status.sh:51 scripts/check-status.sh:55 scripts/check-status.sh:58 scripts/check-status.sh:61 scripts/check-status.sh:1 scripts/init-project.sh:19 scripts/init-project.sh:137 scripts/init-project.sh:1 scripts/install.sh:66 scripts/install.sh:97 scripts/install.sh:192 scripts/install.sh:196 scripts/install.sh:201 scripts/install.sh:1 scripts/phase-gate-review.sh:102 scripts/phase-gate-review.sh:34 scripts/phase-gate-review.sh:41 scripts/phase-gate-review.sh:43 scripts/phase-gate-review.sh:92 scripts/phase-gate-review.sh:124 scripts/phase-gate-review.sh:161 scripts/phase-gate-review.sh:165 scripts/phase-gate-review.sh:170 scripts/phase-gate-review.sh:177 scripts/phase-gate-review.sh:1 scripts/validate-config.sh:94 scripts/validate-config.sh:106 scripts/validate-config.sh:123 scripts/validate-config.sh:145 scripts/validate-config.sh:153 scripts/validate-config.sh:164 scripts/validate-config.sh:1 SKILL.md:27-29 SKILL.md:29-33 SKILL.md:33-34 SKILL.md:34 SKILL.md:40-41 SKILL.md:41-42 SKILL.md:42 SKILL.md:58 SKILL.md:59-60 SKILL.md:60 SKILL.md:61 SKILL.md:63-69 SKILL.md:69-72 SKILL.md:72-76

🌐 Netzwerkzugriff (8)

scripts/install.sh:74 scripts/install.sh:78 scripts/install.sh:88 scripts/install.sh:110 scripts/validate-config.sh:54 SETUP.md:300 SKILL.md:28 templates/config.template.yaml:38

Erkannte Muster

Pipe to shell pattern×2

Geprüft von: codex Audit-Verlauf anzeigen →

Diesen Bericht teilen & zitieren

Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.

Versionsbericht öffnen

Berichtslink kopieren

https://skillstore.io/skills/supercent-io-bmad-orchestrator/audits/6?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown-Badge

[![Skillstore security assessment](https://skillstore.io/badges/skills/supercent-io-bmad-orchestrator/security.svg)](https://skillstore.io/skills/supercent-io-bmad-orchestrator?utm_source=security_passport_badge)

HTML-Badge

<a href="https://skillstore.io/skills/supercent-io-bmad-orchestrator?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/supercent-io-bmad-orchestrator/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Einbettungskarte

<iframe src="https://skillstore.io/embed/skills/supercent-io-bmad-orchestrator.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Wissenschaftliche Zitate (APA · BibTeX · CFF)

APA-Zitat

supercent-io. (2026). bmad-orchestrator security audit report (audit version 6) [Author version 1.2.0]. Skillstore. https://skillstore.io/skills/supercent-io-bmad-orchestrator/audits/6

BibTeX-Zitat

@techreport{supercent-io-supercent-io-bmad-orchestrator-2026,
  author = {supercent-io},
  title = {bmad-orchestrator security audit report (audit version 6)},
  institution = {Skillstore},
  year = {2026},
  number = {6},
  url = {https://skillstore.io/skills/supercent-io-bmad-orchestrator/audits/6},
  note = {Author version 1.2.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "bmad-orchestrator security audit report (audit version 6)"
version: "1.2.0"
type: report
authors:
  - name: "supercent-io"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/supercent-io-bmad-orchestrator/audits/6"
identifiers:
  - type: other
    value: "skillstore:supercent-io-bmad-orchestrator:audit:6"
    description: "Skillstore immutable audit report identifier"

Skillstore-Score

Warum dieser Score Evidenzvertrauen: Mittel

Architektur

100

Wartbarkeit

Inhalt

Gemeinschaft

Spezifikationskonformität

Was Sie erstellen können

Feature-Planung standardisieren

Definieren Sie einen gemeinsamen BMAD-Phasenpfad, bevor Entwickler und Agenten mit der Implementierung beginnen.

Ein BMAD-Projekt fortsetzen

Prüfen Sie den Workflow-Status und identifizieren Sie den nächsten erforderlichen Planungs- oder Implementierungsschritt.

Phasen-Deliverables prüfen

Leiten Sie PRDs, Architekturnotizen oder Sprint-Pläne durch ein strukturiertes Review-Gate.

Diese Prompts ausprobieren

Ein Projekt initialisieren

Initialisiere BMAD in diesem Repository für eine Web-App namens <project>. Frage mich nach fehlenden Entscheidungen zu Stufe oder Ausgabeordner.

Aktuellen Status prüfen

Prüfe den BMAD-Workflow-Status und nenne mir die nächste erforderliche Phase, blockierte Elemente und den Befehl, den ich ausführen sollte.

Ein Phasendokument prüfen

Prüfe das aktuelle PRD mit dem Phasen-Gate-Prozess und fasse dann die erforderlichen Änderungen zusammen, bevor es zur Architektur übergeht.

Toolübergreifende Orchestrierung planen

Passe den BMAD-Phasenplan für ein Integrationsprojekt der Stufe 3 mit Codex-Orchestrierung, plannotator-Review und Sprint-Übergabe-Checkpoints an.

Bewährte Praktiken

Prüfen Sie Installer- und Netzwerkaktionen, bevor Sie Einrichtungsskripte ausführen.
Führen Sie den Workflow-Status aus, bevor Sie neue BMAD-Artefakte generieren.
Halten Sie jedes Phasendokument vor dem Gate-Review unter Versionskontrolle.

Vermeiden

Remote-Installer in unbeaufsichtigten Umgebungen ausführen.
Phasen-Reviews überspringen, weil ein Tool fehlt.
Workflow-Status manuell bearbeiten, ohne Konfiguration und Deliverables abzugleichen.