Este informe no está traducido al idioma solicitado. Se muestra en su lugar el informe canónico en inglés.

Evaluación de seguridad versionada

ID del informe: SA-E4FF58A7

7/4/2026, 4:42:25 PM

python-fastapi evaluación de seguridad v6

Informe de certificación de seguridad de la habilidad

Historial de auditorías
Modelo de auditoría: codex Informe histórico
Nombre de la habilidad
python-fastapi
Versión
v6
Mantenedor
0xkynz
Fuente
github.com/0xkynz/codekit/tree/main/templates/skills/python-fastapi
Cobertura
1 Archivos escaneados · 710 Líneas analizadas
Versión de la política
No disponible

Gravedad máxima de hallazgo confirmada

Crítico

3 hallazgos de seguridad confirmados requieren atención.

Contexto de instalación

Evidencia histórica

Este informe podría no describir el artefacto instalable actualmente. Abra la página actual de la Skill para obtener orientación de instalación.

Abrir la página actual de la habilidad

Este informe no bloquea ni autoriza el manifiesto ni el ZIP.

Most code fence, dotenv, and SQLAlchemy session findings are false positives from documentation examples. Confirmed risks include remote installer execution, hardcoded placeholder secrets, broad Uvicorn binding, permissive CORS, and unauthenticated user endpoints. No prompt injection evidence was found.

Posición del informe

Informe histórico

Abra el historial de auditorías antes de usar este informe para instalar.

Atestación de auditoría

No se puede certificar

La vinculación inmutable requerida está incompleta.

Verificación humana

No verificado

No se ha registrado ninguna verificación humana para este informe.

Cobertura

1 Archivos escaneados · 710 Líneas analizadas

8 elementos mostrados para revisión

Limitaciones

Este informe no afirma ninguna ejecución en tiempo de ejecución ni en entorno aislado y no prueba la ausencia de efectos secundarios.

Cadena de evidencias

Sigue la evidencia desde la vinculación del código fuente hasta el contrato de instalación. La evidencia disponible permite la verificación; no constituye una garantía de seguridad.

  1. Fuente

    Vinculación no disponible

  2. Artefacto

    Identidad incompleta

  3. Auditoría

    Completo

  4. Contrato de instalación

    Abrir el manifiesto para verificar

    Abrir el manifiesto

Capacidades observadas

Observado significa que este informe registró evidencia de respaldo. No registrado no prueba que una capacidad esté ausente.

Contiene scripts

Puede ejecutar código incluido con la habilidad.

Observado en 1 ubicación de evidencia

Acceso a red

Puede conectarse a servicios externos.

Observado en 4 ubicaciones de evidencia

Acceso al sistema de archivos

Puede leer o escribir archivos locales.

No registrado por esta auditoría

Variables de entorno

Puede leer valores del entorno del proceso.

Observado en 8 ubicaciones de evidencia

Comandos externos

Puede invocar comandos o programas fuera de la habilidad.

Observado en 38 ubicaciones de evidencia

Elementos de revisión de capacidades (5)
Alto
SKILL.md:94
Hardcoded URL
curl -LsSf https://astral.sh/uv/install.sh | sh
The hardcoded URL is used in a curl pipeline that downloads an installer. This creates network execution risk if copied without verification.
Alto
SKILL.md:183
Database connection strings
database_url: str = "postgresql+asyncpg://user:pass@localhost:5432/db"
The sample sets a default database URL with embedded user and password values. Placeholder credentials can be copied into real deployments.
Alto
SKILL.md:186
Generic API/secret keys
secret_key: str = "change-me-in-production"
The sample provides a hardcoded default secret key. A predictable default can compromise tokens or signed data if reused in production.
Medio
SKILL.md:661
Hardcoded IP address
uv run uvicorn app.main:app --reload --host 0.0.0.0 --port 8000
The development command binds Uvicorn to 0.0.0.0, exposing the service on all interfaces. This is risky if copied outside a controlled environment.
Medio
SKILL.md:664
Hardcoded IP address
uv run uvicorn app.main:app --host 0.0.0.0 --port 8000 --workers 4
The production command binds Uvicorn to 0.0.0.0 without showing network controls. This can expose the API directly to untrusted networks.

Hallazgos de riesgos

Las preocupaciones de seguridad confirmadas están separadas de los elementos que aún deben revisarse.

Preocupaciones de seguridad confirmadas (3)

RISK-001 Crítico
SKILL.md:94
Pipe to shell pattern
curl -LsSf https://astral.sh/uv/install.sh | sh
The command pipes a remotely downloaded installer directly into sh. This executes network content without checksum verification or review.
RISK-002 Alto
SKILL.md:498-503
Permissive CORS Configuration
The sample FastAPI app allows all origins, methods, and headers while enabling credentials. This can expose authenticated browser requests if copied into production.
The CORS middleware settings are explicit and broad. The comment says to configure for production, but the unsafe default remains in the sample.
RISK-003 Alto
SKILL.md:402-441
Unprotected User Management Endpoints
The user routes list, fetch, create, and update users without authentication or authorization checks. A copied template could expose user records and allow unauthorized changes.
The handlers only depend on the service object and do not check a current user or permissions. The code may be illustrative, so confidence is high but not absolute.

Medidas correctivas

Esta auditoría registra correcciones sugeridas. Aplicarlas es responsabilidad de la persona encargada del mantenimiento.

  1. FIX-001
    Crítico
    Remote installer is piped directly into a shell.
    Replace curl pipe-to-shell setup with package manager instructions, version pinning, and checksum verification steps.
  2. FIX-002
    Alto
    Database URL and secret key examples include hardcoded defaults.
    Require these values from environment variables and show safe placeholders without embedded credentials.
  3. FIX-003
    Alto
    User management routes do not show authentication or authorization checks.
    Add current-user dependencies, role checks, and ownership checks before returning or updating user records.
  4. FIX-004
    Alto
    CORS middleware allows wildcard origins with credentials.
    Use environment-specific allowed origins and avoid wildcard methods and headers in production examples.
  5. FIX-005
    Medio
    Run commands bind Uvicorn to all interfaces.
    Use 127.0.0.1 for local development and document reverse proxy, firewall, and TLS controls for production.

Evidencia experta

Identidad inmutable del sujeto, metadatos del escáner, coincidencias descartadas y evidencia a nivel de código fuente.

Sujeto del artefacto

Commit de Marketplace
No disponible
Hash del contenido
No disponible
Hash del árbol
No disponible
Ruta del Skill
No disponible
Hash de la carga de auditoría
No disponible

Metadatos del análisis

Modelo de auditoría: codex

Estado del análisis: Completo

El alcance se limita a los archivos, líneas, métodos y pruebas registrados. No se afirma ninguna ejecución en tiempo de ejecución ni en entorno aislado.

Verificar y exportar

Informe JSON CITATION.cff SARIF 2.1.0 Manifiesto de instalación firmado

El manifiesto y el archivo de bloqueo vinculan los artefactos de instalación a hashes criptográficos. Esta afirmación de integridad es independiente de la evaluación de seguridad.

Atestación de auditoría: not_attestable