📦

zentao-tour

Name: zentao-tour
Author: easysoft

v0.1.2 Revisión del contenido r1 Riesgo medio 🌐 Acceso a red📁 Acceso al sistema de archivos⚙️ Comandos externos

Explora los flujos de trabajo de ZenTao por rol

Los nuevos usuarios de ZenTao suelen tener dificultades para conectar roles, objetos y acciones de línea de comandos. Esta skill guía un recorrido basado en roles por flujos de trabajo reales de ZenTao.

Compatible con: Claude Codex Code(CC)

⚠️ 50 Deficiente

Maintain this Skill? Claim it ⚠️ 50 Deficiente

Esta habilidad forma parte de un paquete

Instala el paquete completo y obtén en un solo comando todas las habilidades que necesita la tarea.

Habilidades de zentao · 2 habilidades Instalar paquete completo

Instalar con mi Agente

Copia esta solicitud en tu Agente. Incluye la página canónica del Skill y el manifiesto.

Solicitud de agente

Review the Skillstore skill "zentao-tour" from https://skillstore.io/skills/easysoft-zentao-tour.md and its manifest at https://skillstore.io/api/skills/easysoft-zentao-tour/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

Tu Agente debe seguir mostrando su plan y solicitar cualquier confirmación exigida por la política de seguridad.

Recursos legibles por agentes

Usa estos enlaces cuando un agente de IA, crawler o script necesite contexto limpio en vez de leer la página completa.

Detalle Markdown GET /skills/easysoft-zentao-tour.md Manifest firmado GET /api/skills/easysoft-zentao-tour/manifest Lockfile firmado GET /api/skills/easysoft-zentao-tour/lockfile

Pruébalo

Usando "zentao-tour". Quiero probar la ruta de responsable de producto.

Resultado esperado:

La skill pide una idea de producto, ayuda a nombrarla, registra algunos requisitos y agrupa elementos seleccionados en un primer plan.

Usando "zentao-tour". Muéstrame qué puede ver un responsable sin cambiar datos.

Resultado esperado:

La skill lista proyectos activos, explica señales de calendario y progreso, y resume la salud del producto a partir de requisitos y bugs.

Usando "zentao-tour". Quiero limpiar datos de demostración.

Resultado esperado:

La skill revisa los registros creados, pide confirmación antes de cada eliminación y ejecuta la limpieza solo después de la aprobación.

Auditoría de seguridad

Riesgo medio

v4 • 5/7/2026 Abrir el informe versionado

Most high-severity static alerts are false positives from Markdown links, Chinese prose, and documentation paths. The confirmed risks are the intended zentao-cli command flows that can read, create, update, and delete ZenTao records. No evidence of prompt injection or encoded payloads was found.

Archivos escaneados

760

Líneas analizadas

Elementos de revisión

Falsos positivos ignorados

Preocupaciones de seguridad confirmadas (2)

Medio

SKILL.md:70-77 SKILL.md:109-113 roles/pm.md:32-35 roles/pjm.md:29-33 roles/test.md:57-65

Accidental ZenTao Data Mutation During Tour

The tour intentionally guides create, update, status transition, and delete actions in a connected ZenTao environment. The casual onboarding tone can cause unintended changes if used against production data.

Multiple role files and the main skill explicitly direct record creation, updates, state transitions, and deletion. The instructions require consent, so this is operational risk rather than clear malicious intent.

Medio

overview.md:60-66 SKILL.md:83

Command-Line Credential Exposure in Login Guidance

The setup guidance shows zentao login with a password parameter and says credentials are cached under the user config directory. Password arguments can appear in shell history, process listings, or chat transcripts.

The login command examples directly include a password flag, and the overview describes credential caching. This is common CLI guidance but creates a concrete secret exposure risk.

Elementos de revisión de capacidades (5)

Estas son capacidades locales reales que pueden esperarse para esta habilidad, por lo que requieren revisión, pero no se cuentan como comportamiento malicioso confirmado.

Medio

SKILL.md:21

Ruby/shell backtick execution

2. **悄悄**做工具就绪检查(不要说"进入第 1 步")。直接跑 `zentao profile`,顺手说一句类似"我先确认下是哪个账号......" 。如果失败,参考 [overview.md]

The instruction tells the assistant to run zentao profile as a readiness check, which invokes a local CLI and may contact the user's ZenTao server. It is intended behavior, but it is still external command execution.

Medio

SKILL.md:72

Ruby/shell backtick execution

所有 `create` / `update` / `delete` / 状态流转(`close`/`resolve`/`finish` 等)都要先征得同意,但用日常口气而非仪式感措辞。

The line establishes that the tour uses create, update, delete, and state transition commands. Consent is required, but the skill still directs mutating external operations.

Medio

SKILL.md:75

Ruby/shell backtick execution

- 而说 "那我就用 `zentao product create --name="..."` 帮你建出来,OK?"

The example is a zentao product create command that can write records to a connected ZenTao instance. User confirmation reduces the risk but does not remove it.

Medio

SKILL.md:83

Ruby/shell backtick execution

| E1001 / E1004 | "登录像是过期了,我们重登一下:`zentao login -s ... -u ... -p ...`" |

The login example includes a password parameter in a shell command. That can expose credentials through process listings, shell history, or chat transcripts.

Medio

SKILL.md:113

Ruby/shell backtick execution

3. 如果用户想清数据,用 `zentao <module> delete <id> --yes` 帮他删,每条前再确认一次。

The line instructs the assistant to run delete commands with --yes for cleanup. It requires confirmation, but the command is destructive in the connected ZenTao system.

Factores de riesgo

🌐 Acceso a red (5)

overview.md:63 overview.md:81 SKILL.md:7 SKILL.md:118 SKILL.md:119

📁 Acceso al sistema de archivos (11)

overview.md:45 overview.md:66 overview.md:90 overview.md:66 overview.md:90 roles/dev.md:73 roles/executive.md:80 roles/pjm.md:92 roles/pm.md:131 roles/test.md:76 SKILL.md:77

⚙️ Comandos externos (8)

SKILL.md:21 SKILL.md:72 SKILL.md:75 SKILL.md:83 SKILL.md:84 SKILL.md:86 SKILL.md:98 SKILL.md:113

Auditado por: codex Ver historial de auditorías →

Compartir y citar este informe

Comparte el informe de evaluación versionado, la insignia neutral, la tarjeta insertable y las citas. Skillstore presenta evidencias sin decidir si este Skill es seguro.

Abrir el informe versionado

Copiar enlace del informe

https://skillstore.io/skills/easysoft-zentao-tour/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Insignia Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/easysoft-zentao-tour/security.svg)](https://skillstore.io/skills/easysoft-zentao-tour?utm_source=security_passport_badge)

Insignia HTML

<a href="https://skillstore.io/skills/easysoft-zentao-tour?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/easysoft-zentao-tour/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Tarjeta para insertar

<iframe src="https://skillstore.io/embed/skills/easysoft-zentao-tour.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citas académicas (APA · BibTeX · CFF)

Cita APA

easysoft. (2026). zentao-tour security audit report (audit version 4) [Author version 0.1.2]. Skillstore. https://skillstore.io/skills/easysoft-zentao-tour/audits/4

Cita BibTeX

@techreport{easysoft-easysoft-zentao-tour-2026,
  author = {easysoft},
  title = {zentao-tour security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/easysoft-zentao-tour/audits/4},
  note = {Author version 0.1.2}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "zentao-tour security audit report (audit version 4)"
version: "0.1.2"
type: report
authors:
  - name: "easysoft"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/easysoft-zentao-tour/audits/4"
identifiers:
  - type: other
    value: "skillstore:easysoft-zentao-tour:audit:4"
    description: "Skillstore immutable audit report identifier"

Puntuación de Skillstore

Por qué esta puntuación Confianza de la evidencia: Alto

Arquitectura

100

Mantenibilidad

Contenido

Comunidad

100

Cumplimiento de la especificación

Lo que puedes crear

Incorporar a responsables de producto

Guía a un responsable de producto desde una idea de producto hasta requisitos y un primer plan de producto.

Enseñar el flujo de proyecto

Ayuda a un responsable de proyecto a crear un proyecto, abrir un sprint, asignar tareas y revisar cambios de estado.

Practicar flujos de trabajo de pruebas

Guía a un tester desde un requisito hasta casos de prueba, una tarea de prueba, un bug y el cierre.

Prueba estos prompts

Iniciar un recorrido de producto

Llévame por un recorrido de ZenTao como responsable de producto. Ayúdame a crear un producto de demostración y explica cada objeto.

Planificar un sprint

Guíame por un recorrido para responsable de proyecto. Usa productos existentes, crea un sprint y muestra el flujo de estado de las tareas después de preguntar primero.

Ejecutar una ruta de QA

Guía mi flujo de trabajo de pruebas de ZenTao desde el requisito hasta el caso de prueba, la tarea de prueba, el reporte de bug, la resolución y el cierre.

Revisar señales ejecutivas

Usa la vista ejecutiva para resumir el ritmo del proyecto, la salud del producto, los releases, el feedback y la siguiente área que conviene inspeccionar.

Mejores prácticas

Usa un espacio de trabajo sandbox de ZenTao al probar flujos de escritura.
Confirma cada creación, actualización, eliminación o transición de estado antes de ejecutarla.
Registra los IDs creados durante un recorrido para que la limpieza sea precisa.

Evitar

Ejecutar el recorrido contra datos de producción sin un plan de rollback.
Omitir la selección de rol y mezclar flujos de trabajo no relacionados en una sola sesión.
Pegar contraseñas o tokens reales en registros de chat compartidos.