Este informe no está traducido al idioma solicitado. Se muestra en su lugar el informe canónico en inglés.

Evaluación de seguridad versionada

ID del informe: SA-FDA88DE1

6/29/2026, 11:27:23 PM

zentao-api evaluación de seguridad v2

Informe de certificación de seguridad de la habilidad

Historial de auditorías
Modelo de auditoría: codex Informe histórico
Nombre de la habilidad
zentao-api
Versión
v2
Mantenedor
easysoft
Fuente
github.com/easysoft/zentao-skills/tree/main/skills/zentao-api
Cobertura
3 Archivos escaneados · 776 Líneas analizadas
Versión de la política
No disponible

Gravedad máxima de hallazgo confirmada

Alto

2 hallazgos de seguridad confirmados requieren atención.

Contexto de instalación

Evidencia histórica

Este informe podría no describir el artefacto instalable actualmente. Abra la página actual de la Skill para obtener orientación de instalación.

Abrir la página actual de la habilidad

Este informe no bloquea ni autoriza el manifiesto ni el ZIP.

Static analysis over-reported many Markdown backticks and weak-cryptography hits that are false positives in API documentation. However, manual review confirmed a high-risk eval workflow that emits unescaped credentials into the shell and a plaintext persistent token cache. No prompt injection attempt or confirmed malicious intent was found, so this is not a critical block.

Posición del informe

Informe histórico

Abra el historial de auditorías antes de usar este informe para instalar.

Atestación de auditoría

No se puede certificar

La vinculación inmutable requerida está incompleta.

Verificación humana

No verificado

No se ha registrado ninguna verificación humana para este informe.

Cobertura

3 Archivos escaneados · 776 Líneas analizadas

4 elementos mostrados para revisión

Limitaciones

Este informe no afirma ninguna ejecución en tiempo de ejecución ni en entorno aislado y no prueba la ausencia de efectos secundarios.

Cadena de evidencias

Sigue la evidencia desde la vinculación del código fuente hasta el contrato de instalación. La evidencia disponible permite la verificación; no constituye una garantía de seguridad.

  1. Fuente

    Vinculación no disponible

  2. Artefacto

    Identidad incompleta

  3. Auditoría

    Completo

  4. Contrato de instalación

    Abrir el manifiesto para verificar

    Abrir el manifiesto

Capacidades observadas

Observado significa que este informe registró evidencia de respaldo. No registrado no prueba que una capacidad esté ausente.

Contiene scripts

Puede ejecutar código incluido con la habilidad.

Observado en 2 ubicaciones de evidencia

Acceso a red

Puede conectarse a servicios externos.

Observado en 2 ubicaciones de evidencia

Acceso al sistema de archivos

Puede leer o escribir archivos locales.

Observado en 5 ubicaciones de evidencia

Variables de entorno

Puede leer valores del entorno del proceso.

No registrado por esta auditoría

Comandos externos

Puede invocar comandos o programas fuera de la habilidad.

Observado en 3 ubicaciones de evidencia

Elementos de revisión de capacidades (2)
Medio
scripts/get-token.sh:71-73SKILL.md:41-48SKILL.md:95-161
Authenticated Network Requests and Mutating API Operations
The skill is designed to send authenticated requests to a user-configured ZenTao server and supports create, update, delete, and status transition actions. This is expected for the skill, but it can change project records and should require clear user confirmation.
The network call and many mutating curl examples are visible. The behavior is legitimate for this integration, but it raises operational risk when credentials are available.
Bajo
scripts/get-token.sh:1-6SKILL.md:1-8
High Entropy Heuristic Appears Caused by Documentation Text
The high entropy heuristic points at normal shell script and Markdown files containing Chinese text and dense API references. No evidence found of encoded payloads, binary blobs, or encrypted content.
The flagged files are readable source and documentation. The confidence is below very high because entropy is a heuristic, but the reviewed context does not show obfuscation.

Hallazgos de riesgos

Las preocupaciones de seguridad confirmadas están separadas de los elementos que aún deben revisarse.

Preocupaciones de seguridad confirmadas (2)

RISK-001 Alto
SKILL.md:33SKILL.md:43scripts/get-token.sh:15-17scripts/get-token.sh:101
Shell Eval Command Injection in Token Setup
The skill tells users to run the token helper through eval. The helper prints unescaped URL, token, and account values as shell assignments, so metacharacters from environment variables, the cache file, or a server response can execute in the user shell.
The eval instruction is explicit, and the script emits raw variable values without shell escaping. This creates a direct command execution path if any emitted value is attacker controlled.
RISK-002 Alto
SKILL.md:24scripts/get-token.sh:5-6scripts/get-token.sh:57scripts/get-token.sh:98
Persistent Plaintext ZenTao Token Cache
The helper stores ZenTao URL, account, and token in a hidden home-directory JSON file. The documentation states ZenTao tokens are permanent, so local file disclosure can expose long-lived account access.
The cache path and write operations are directly present, and the comments describe permanent token behavior. The risk depends on local file permissions but the credential persistence is confirmed.

Evidencia experta

Identidad inmutable del sujeto, metadatos del escáner, coincidencias descartadas y evidencia a nivel de código fuente.

Sujeto del artefacto

Commit de Marketplace
No disponible
Hash del contenido
No disponible
Hash del árbol
No disponible
Ruta del Skill
No disponible
Hash de la carga de auditoría
No disponible

Metadatos del análisis

Modelo de auditoría: codex

Estado del análisis: Completo

El alcance se limita a los archivos, líneas, métodos y pruebas registrados. No se afirma ninguna ejecución en tiempo de ejecución ni en entorno aislado.

Falsos positivos estáticos ignorados (2)
Bajo
api-reference.md:3-5api-reference.md:36SKILL.md:52-74
Markdown Backticks Misclassified as External Commands
Most static external command hits in SKILL.md and api-reference.md are Markdown code spans, shell examples, endpoint paths, or API tables. They are not executable Ruby backticks in a source file.
The cited lines are documentation text and tables, not Ruby code. The exception is the documented shell eval workflow, which is captured as a separate high-risk finding.
Bajo
api-reference.md:84-86api-reference.md:237-241SKILL.md:168-171
Weak Cryptography Findings Are Terminology False Positives
The weak cryptography hits map to API documentation terms, enum values, field names, and Markdown content. No evidence found of hashing, encryption, or custom cryptographic implementation in the reviewed files.
Manual review of representative flagged lines shows API fields and status values rather than crypto operations. This makes the high static severity misleading for that pattern.

Verificar y exportar

Informe JSON CITATION.cff SARIF 2.1.0 Manifiesto de instalación firmado

El manifiesto y el archivo de bloqueo vinculan los artefactos de instalación a hashes criptográficos. Esta afirmación de integridad es independiente de la evaluación de seguridad.

Atestación de auditoría: not_attestable