📦

claude-plugin

Name: claude-plugin
Author: ChipFlow

Révision du contenu r1 Risque élevé 🌐 Accès réseau⚙️ Commandes externes📁 Accès au système de fichiers

Naviguer dans le code avec des cartes de dépôt

Les grands dépôts rendent la recherche de symboles lente et répétitive. Cette compétence ajoute des outils MCP repo-map qui indexent les symboles du projet et récupèrent rapidement le contexte de code pertinent.

Prend en charge: Claude Codex Code(CC)

⚠️ 38 Médiocre

Maintain this Skill? Claim it ⚠️ 38 Médiocre

Arrêtez-vous et demandez confirmation avant l’installation.

Examinez le plan et obtenez le consentement explicite de l’utilisateur avant de modifier des fichiers.

Installer avec mon Agent

Copiez cette demande dans votre Agent. Elle contient la page Skill de référence et le manifeste.

Demande d’agent

Review the Skillstore skill "claude-plugin" from https://skillstore.io/skills/chipflow-claude-plugin.md and its manifest at https://skillstore.io/api/skills/chipflow-claude-plugin/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Votre Agent doit toujours présenter son plan et demander toute confirmation exigée par la politique de sécurité.

Ressources lisibles par les agents

Utilisez ces liens lorsqu’un Agent IA, un crawler ou un script a besoin d’un contexte propre au lieu de lire toute la page.

Détail Markdown GET /skills/chipflow-claude-plugin.md manifest signé GET /api/skills/chipflow-claude-plugin/manifest lockfile signé GET /api/skills/chipflow-claude-plugin/lockfile

Tester

Utilisation de « claude-plugin ». Recherche les fonctions parse dans le dépôt.

Résultat attendu:

Une liste classée des symboles correspondants avec chemins de fichiers, numéros de ligne et indications sur les résultats importants.

Utilisation de « claude-plugin ». Montre-moi les symboles du module d’authentification.

Résultat attendu:

Un inventaire concis des classes, fonctions et méthodes trouvées dans le fichier sélectionné.

Utilisation de « claude-plugin ». Réindexe la repo map et indique l’état.

Résultat attendu:

Un résumé d’état indiquant si l’indexation est terminée, a échoué ou nécessite une nouvelle tentative.

Audit de sécurité

Risque élevé

v8 • 06/07/2026 Ouvrir le rapport versionné

Most static command and network findings are false positives from Markdown examples or repository metadata. The confirmed risk is local project access: the plugin starts a repo-map MCP server, indexes the active project, and stores symbol metadata in hidden .claude files. I found no evidence of prompt injection or remote data exfiltration in the reviewed files.

Fichiers analysés

238

Lignes analysées

Éléments à examiner

Faux positifs ignorés

Préoccupations de sécurité confirmées (6)

Élevé

plugin.json:10-16 SKILL.md:21-24 SKILL.md:181-190

MCP Server Launches Local Command With Project Scope

plugin.json configures a repo-map MCP server command and passes the current working directory as PROJECT_ROOT. This gives installed plugin code access to the active project for indexing and symbol queries.

The MCP command and PROJECT_ROOT environment setting are explicit in plugin.json, and SKILL.md describes per-project indexing files. I found no evidence of remote upload or prompt injection, so the finding is scoped to local execution and project access.

Moyen

SKILL.md:15

SQLite database file

# MCP tools query/index project-a/.claude/repo-map.db

The referenced SQLite database is a local repository symbol index that can contain project metadata such as paths, signatures, and docstrings. No exfiltration is shown, but the cached data can still be sensitive.

Moyen

SKILL.md:18

SQLite database file

# MCP tools now query/index project-b/.claude/repo-map.db ✅

Moyen

SKILL.md:23

SQLite database file

- If `.claude/repo-map.db` exists: query it

Moyen

SKILL.md:123

SQLite database file

## Database Schema (.claude/repo-map.db)

Moyen

SKILL.md:184

SQLite database file

- `.claude/repo-map.db` - SQLite database for fast symbol queries (MCP server)

Éléments d’évaluation des capacités (2)

Il s’agit de capacités locales réelles qui peuvent être attendues pour cette compétence ; elles nécessitent donc un examen, mais ne sont pas comptabilisées comme comportement malveillant confirmé.

Moyen

SKILL.md:15

Hidden file access

# MCP tools query/index project-a/.claude/repo-map.db

The skill states that MCP tools query or index a hidden .claude repo-map database under the active project. This is bounded to project files, but hidden project access should be disclosed.

Moyen

SKILL.md:18

Hidden file access

# MCP tools now query/index project-b/.claude/repo-map.db ✅

The skill states that MCP tools query or index a hidden .claude repo-map database under the active project. This is bounded to project files, but hidden project access should be disclosed.

Facteurs de risque

Audité par: codex Voir l’historique des audits →

Partager et citer ce rapport

Partagez le rapport d’évaluation versionné, le badge neutre, la carte intégrable et les citations. Skillstore présente les preuves sans décider si ce Skill est sûr.

Ouvrir le rapport versionné

Copier le lien du rapport

https://skillstore.io/skills/chipflow-claude-plugin/audits/8?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Badge Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/chipflow-claude-plugin/security.svg)](https://skillstore.io/skills/chipflow-claude-plugin?utm_source=security_passport_badge)

Badge HTML

<a href="https://skillstore.io/skills/chipflow-claude-plugin?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/chipflow-claude-plugin/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Carte intégrable

<iframe src="https://skillstore.io/embed/skills/chipflow-claude-plugin.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citations académiques (APA · BibTeX · CFF)

Citation APA

ChipFlow. (2026). claude-plugin security audit report (audit version 8) [Author version unspecified]. Skillstore. https://skillstore.io/skills/chipflow-claude-plugin/audits/8

Citation BibTeX

@techreport{chipflow-chipflow-claude-plugin-2026,
  author = {ChipFlow},
  title = {claude-plugin security audit report (audit version 8)},
  institution = {Skillstore},
  year = {2026},
  number = {8},
  url = {https://skillstore.io/skills/chipflow-claude-plugin/audits/8},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "claude-plugin security audit report (audit version 8)"
version: "unspecified"
type: report
authors:
  - name: "ChipFlow"
date-released: "2026-07-06"
url: "https://skillstore.io/skills/chipflow-claude-plugin/audits/8"
identifiers:
  - type: other
    value: "skillstore:chipflow-claude-plugin:audit:8"
    description: "Skillstore immutable audit report identifier"

Score Skillstore

Pourquoi ce score Niveau de confiance des preuves: Moyen

Architecture

Maintenabilité

Contenu

Communauté

Conformité aux spécifications

Ce que vous pouvez créer

Trouver rapidement les définitions de symboles

Localisez les fonctions, classes et méthodes par motif de nom avant de lire les fichiers complets.

Examiner de grands dépôts

Créez une carte rapide des symboles et fichiers importants avant d’examiner un changement.

Préparer des refactorisations plus sûres

Actualisez l’index des symboles et comparez les définitions liées avant de déplacer ou de réécrire du code.

Essayez ces prompts

Trouver un motif de symbole

Utilise les outils repo-map pour rechercher les symboles correspondant à parse_* et résume les meilleures correspondances.

Inspecter un fichier

Liste les symboles dans src/models/user.py, puis indique quelles classes ou fonctions je devrais inspecter en premier.

Tracer un point d’entrée de fonctionnalité

Recherche des symboles handler liés à billing, récupère le contenu du symbole le plus pertinent et explique le flux de contrôle.

Actualiser avant une refactorisation

Vérifie l’état de repo-map, réindexe si l’index est obsolète, attends la fin de l’opération et compare les symboles qui se chevauchent avant ma refactorisation.

Bonnes pratiques

Redémarrez Claude Code après l’installation ou la mise à jour du plugin.
Utilisez la recherche de symboles pour les noms et la recherche standard pour le contenu des fichiers.
Examinez les artefacts .claude avant de partager une archive de projet.

Éviter

Ne supposez pas que les langages non pris en charge sont entièrement indexés.
Ne vous fiez pas aux résultats repo-map obsolètes après de grands changements de code.
N’indexez pas de dépôts contenant des secrets sans vérifier la politique de stockage local.

Foire aux questions

À quoi sert cette compétence ?

Elle aide Claude Code à rechercher et inspecter les symboles du dépôt via des outils MCP repo-map locaux.

Envoie-t-elle mon code à un service distant ?

Aucun élément dans les fichiers examinés n’indique un téléversement de code distant. Le comportement documenté utilise des outils MCP locaux et des fichiers de projet.

Quels langages sont indexés ?

La compétence documente l’indexation des symboles pour Python, C++ et Rust.

Pourquoi dois-je redémarrer Claude Code ?

Les serveurs MCP démarrent avec Claude Code, donc un redémarrage charge la configuration du serveur du plugin.

Remplace-t-elle Grep ou Read ?

Non. Utilisez les outils repo-map pour les noms de symboles, et les outils standard pour le contenu complet des fichiers ou la recherche de texte.

Quels fichiers locaux peut-elle créer ?

Elle peut utiliser un manifeste de projet .claude, du markdown repo-map, une base de données repo-map, des apprentissages et des fichiers journaux.