Habilidades when-auditing-security-use-security-analyzer

📦

when-auditing-security-use-security-analyzer

Name: when-auditing-security-use-security-analyzer
Author: DNYoussef

v1.0.0 Revisión del contenido r1 Riesgo medio 🌐 Acceso a red⚡ Contiene scripts⚙️ Comandos externos📁 Acceso al sistema de archivos🔑 Variables de entorno

Ejecuta auditorías de seguridad con agentes de IA

Las revisiones de seguridad suelen pasar por alto problemas distribuidos entre el código, las dependencias, el comportamiento en tiempo de ejecución y los secretos. Esta skill guía a Claude, Codex y Claude Code a través de un flujo de auditoría estructurado con puntos de control para informes.

Compatible con: Claude Codex Code(CC)

📊 70 Adecuado

Instalar con mi Agente

Copia esta solicitud en tu Agente. Incluye la página canónica del Skill y el manifiesto.

Solicitud de agente

Review the Skillstore skill "when-auditing-security-use-security-analyzer" from https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer.md and its manifest at https://skillstore.io/api/skills/dnyoussef-when-auditing-security-use-security-analyzer/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

Tu Agente debe seguir mostrando su plan y solicitar cualquier confirmación exigida por la política de seguridad.

Recursos legibles por agentes

Usa estos enlaces cuando un agente de IA, crawler o script necesite contexto limpio en vez de leer la página completa.

Detalle Markdown GET /skills/dnyoussef-when-auditing-security-use-security-analyzer.md Manifest firmado GET /api/skills/dnyoussef-when-auditing-security-use-security-analyzer/manifest Lockfile firmado GET /api/skills/dnyoussef-when-auditing-security-use-security-analyzer/lockfile

Pruébalo

Usando "when-auditing-security-use-security-analyzer". Ejecuta un análisis estático de seguridad antes de mi pull request.

Resultado esperado:

Resumen de conteos de problemas por severidad.
Lista de posibles hallazgos de inyección SQL, XSS, path traversal y criptografía.
Correcciones recomendadas ordenadas por impacto.

Usando "when-auditing-security-use-security-analyzer". Comprueba si este lanzamiento tiene nuevas regresiones de seguridad.

Resultado esperado:

Comparación con la referencia que muestra si los conteos de problemas aumentaron o disminuyeron.
Resumen de riesgo del lanzamiento.
Acciones necesarias antes de la aprobación.

Usando "when-auditing-security-use-security-analyzer". Audita dependencias y secretos expuestos.

Resultado esperado:

Resumen de vulnerabilidades de dependencias de npm audit.
Posibles coincidencias de credenciales encontradas en archivos locales.
Orientación para rotar secretos y actualizar paquetes cuando sea necesario.

Auditoría de seguridad

Riesgo medio

v10 • 9/7/2026 Abrir el informe versionado

The static matches are overwhelmingly scanner signatures, documentation examples, local temporary-file usage, or local audit commands rather than malicious behavior. I did not find evidence of credential exfiltration, destructive actions, prompt injection, or unauthorized remote targeting, but the skill does execute external tooling and can generate sensitive local reports. Static review was capped at 400/481 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

Archivos escaneados

3,524

Líneas analizadas

Elementos de revisión

Falsos positivos ignorados

Preocupaciones de seguridad confirmadas (2)

Medio

SKILL.md:52-65 slash-command-security-analyzer.sh:220-225

Unpinned External Package Execution

The workflow repeatedly invokes npx claude-flow@alpha. Running an alpha package through npx can execute code fetched from the package registry unless the user has pinned, audited, and approved that dependency.

The cited lines show direct npx execution of claude-flow@alpha in both documentation and the command script. This is a supply-chain and execution-safety concern, but it is transparent and related to the skill workflow rather than hidden malware.

Bajo

slash-command-security-analyzer.sh:379-403 slash-command-security-analyzer.sh:479-506

Security Reports May Contain Sensitive Findings

The analyzer writes matched secrets, dependency data, and source snippets into local temporary files and the output report. This is expected for a scanner, but reports must be treated as sensitive artifacts.

The script explicitly scans for credentials and includes findings in the generated report. There is no external upload shown, so the issue is local handling and disclosure risk.

Factores de riesgo

🌐 Acceso a red (32)

⚡ Contiene scripts (9)

PROCESS.md:141 PROCESS.md:138 PROCESS.md:150 SKILL.md:91 SKILL.md:441 SKILL.md:92 SKILL.md:92 SKILL.md:103 SKILL.md:90

⚙️ Comandos externos (50)

PROCESS.md:94-103 PROCESS.md:359-385 PROCESS.md:385-410 PROCESS.md:410-411 PROCESS.md:411-432 PROCESS.md:432-436 PROCESS.md:436-458 PROCESS.md:458-460 PROCESS.md:460-488 PROCESS.md:507-521 PROCESS.md:521-532 PROCESS.md:50 PROCESS.md:259 PROCESS.md:260 PROCESS.md:262 PROCESS.md:263 PROCESS.md:264 PROCESS.md:265 PROCESS.md:267 PROCESS.md:274 PROCESS.md:286 PROCESS.md:546 PROCESS.md:560 README.md:284 README.md:288 README.md:104 README.md:283 SKILL.md:37-44 SKILL.md:44-52 SKILL.md:52-66 SKILL.md:66-69 SKILL.md:69-128 SKILL.md:128-131 SKILL.md:131-140 SKILL.md:140-148 SKILL.md:148-235 SKILL.md:235-251 SKILL.md:251-254 SKILL.md:254-261 SKILL.md:261-269 SKILL.md:269-306 SKILL.md:306-309 SKILL.md:309-322 SKILL.md:322-330 SKILL.md:330-394 SKILL.md:394-397 SKILL.md:397-405 SKILL.md:405-413 SKILL.md:413-570 SKILL.md:570-573

📁 Acceso al sistema de archivos (50)

🔑 Variables de entorno (8)

PROCESS.md:243 PROCESS.md:243 SKILL.md:745 SKILL.md:745 SKILL.md:343 SKILL.md:745 SKILL.md:746 slash-command-security-analyzer.sh:389

Auditado por: claude Ver historial de auditorías →

Compartir y citar este informe

Comparte el informe de evaluación versionado, la insignia neutral, la tarjeta insertable y las citas. Skillstore presenta evidencias sin decidir si este Skill es seguro.

Abrir el informe versionado

Copiar enlace del informe

https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer/audits/10?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Insignia Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/dnyoussef-when-auditing-security-use-security-analyzer/security.svg)](https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer?utm_source=security_passport_badge)

Insignia HTML

<a href="https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/dnyoussef-when-auditing-security-use-security-analyzer/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Tarjeta para insertar

<iframe src="https://skillstore.io/embed/skills/dnyoussef-when-auditing-security-use-security-analyzer.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citas académicas (APA · BibTeX · CFF)

Cita APA

DNYoussef. (2026). when-auditing-security-use-security-analyzer security audit report (audit version 10) [Author version 1.0.0]. Skillstore. https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer/audits/10

Cita BibTeX

@techreport{dnyoussef-dnyoussef-when-auditing-security-use-security-analyzer-2026,
  author = {DNYoussef},
  title = {when-auditing-security-use-security-analyzer security audit report (audit version 10)},
  institution = {Skillstore},
  year = {2026},
  number = {10},
  url = {https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer/audits/10},
  note = {Author version 1.0.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "when-auditing-security-use-security-analyzer security audit report (audit version 10)"
version: "1.0.0"
type: report
authors:
  - name: "DNYoussef"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer/audits/10"
identifiers:
  - type: other
    value: "skillstore:dnyoussef-when-auditing-security-use-security-analyzer:audit:10"
    description: "Skillstore immutable audit report identifier"

Puntuación de Skillstore

Por qué esta puntuación Confianza de la evidencia: Alto

Arquitectura

100

Mantenibilidad

Contenido

Comunidad

Cumplimiento de la especificación

Lo que puedes crear

Revisión de seguridad previa a la fusión

Ejecuta un análisis local antes de abrir un pull request para detectar problemas comunes de inyección, secretos y dependencias.

Auditoría de preparación para el lanzamiento

Combina comprobaciones estáticas, resultados de npm audit y puntuación OWASP en un solo informe antes de un lanzamiento.

Flujo de aprendizaje de seguridad

Usa ejemplos documentados vulnerables y seguros para enseñar a los equipos cómo aparecen en el código los problemas comunes de seguridad web.

Prueba estos prompts

Ejecutar un análisis estático básico

Usa el analizador de seguridad para ejecutar un análisis estático en este proyecto y resume los hallazgos más importantes.

Comprobar secretos y dependencias

Ejecuta detección de secretos y auditoría de dependencias, luego dime qué hallazgos necesitan acción inmediata.

Comparar con una referencia

Ejecuta el analizador de seguridad contra esta base de código y compara los resultados con mi informe de referencia existente.

Realizar una auditoría completa de lanzamiento

Ejecuta el flujo completo del analizador de seguridad con modo estricto, incluye cobertura OWASP y produce un plan de remediación priorizado.

Mejores prácticas

Ejecuta análisis solo en repositorios y servicios locales que estés autorizado a probar.
Revisa cada hallazgo manualmente antes de tratarlo como una vulnerabilidad confirmada.
Almacena los informes generados de forma segura porque pueden incluir rutas de archivos sensibles o fragmentos de código.

Evitar

No ejecutes pruebas dinámicas ni de límites de tasa contra sistemas de terceros sin permiso por escrito.
No pegues informes generados en herramientas públicas cuando contengan secretos o rutas internas.
No trates los resultados basados en grep como cobertura completa para problemas de seguridad complejos.

Preguntas frecuentes

¿Esta skill explota vulnerabilidades?

No. Está diseñada para revisiones defensivas autorizadas y validación local, no para explotación ofensiva.

¿Puede ejecutarse con Claude Code?

Sí. La skill declara soporte para Claude, Codex y Claude Code.

¿Analizará dependencias?

Sí. Ejecuta npm audit cuando package.json existe en la ruta de análisis seleccionada.

¿Puede encontrar todos los secretos?

No. Comprueba patrones comunes y puede pasar por alto formatos inusuales o credenciales cifradas.

¿Envía hallazgos a servicios externos?

El script revisado escribe informes locales y, opcionalmente, llama a hooks de Claude Flow. Los usuarios deben revisar el comportamiento de los hooks antes de habilitarlo.

¿Sigue siendo necesaria la revisión manual?

Sí. El escáner está basado en patrones, por lo que las personas deben confirmar la severidad, la explotabilidad y la prioridad de remediación.