Ce rapport n’est pas traduit dans la langue demandée. Le rapport anglais canonique est affiché à la place.

Évaluation de sécurité versionnée

ID du rapport: SA-A97D7EDF

10/23/2026, 12:09:59 PM

stack-analyzer évaluation de sécurité v13

Rapport de certification de sécurité de la compétence

Historique des audits
Version du scanner 3.0.0 Modèle d’audit: codex Dernier rapport publié
Nom de la compétence
stack-analyzer
Version
v13
Mainteneur
Consiliency
Source
github.com/Consiliency/treesitter-chunker/tree/main/.ai-dev-kit/skills/stack-analyzer
Couverture
2 Fichiers analysés · 542 Lignes analysées
Version de la politique
skillstore-security-audit-policy-v1

Gravité la plus élevée des résultats confirmés

Moyen

4 constats de sécurité confirmés nécessitent une attention.

Contexte d’installation

Consultez la page Skill actuelle

Cette page résume uniquement les éléments de preuve du rapport. La page de la Skill fournit l’avis d’installation canonique.

Ouvrir la page Skill actuelle

Ce rapport ne bloque ni n’autorise le manifeste ou le ZIP.

All 46 static alerts were dismissed after contextual review, including manual inspection of the three templates. One semantic finding identifies unsafe scaffolding writes that can overwrite files outside the intended destination. No evidence found of credential theft, data exfiltration, or audit-manipulation instructions.

Position du rapport

Dernier rapport publié

Dernier fait référence à la séquence des rapports, et non à l’actualité de l’artefact.

Attestation d’audit

Attestation active

Une attestation publique est disponible pour ce rapport exact.

Vérification humaine

Non vérifié

Aucune vérification humaine n’est enregistrée pour ce rapport.

Couverture

2 Fichiers analysés · 542 Lignes analysées

4 éléments affichés pour révision

Limitations

Ce rapport ne prétend pas à une exécution en environnement d’exécution ou en bac à sable et ne prouve pas l’absence d’effets secondaires.

Chaîne de preuves

Suivez les preuves depuis la liaison à la source jusqu’au contrat d’installation. Les preuves disponibles permettent la vérification ; elles ne constituent pas une garantie de sécurité.

  1. Source

    Commit et chemin liés

  2. Artefact

    Hachages du contenu et de l’arborescence liés

  3. Audit

    Terminé

  4. Contrat d’installation

    Ouvrir le manifeste pour vérifier

    Ouvrir le manifeste

Fonctionnalités observées

Observé signifie que ce rapport a consigné des éléments de preuve à l’appui. Non enregistré ne prouve pas qu’une capacité est absente.

Contient des scripts

Peut exécuter du code inclus avec la Skill.

Non enregistré par cet audit

Accès réseau

Peut se connecter à des services externes.

Observé dans 1 emplacement de preuve

Accès au système de fichiers

Peut lire ou écrire des fichiers locaux.

Observé dans 1 emplacement de preuve

Variables d’environnement

Peut lire des valeurs depuis l’environnement du processus.

Non enregistré par cet audit

Commandes externes

Peut appeler des commandes ou des programmes en dehors de la Skill.

Observé dans 40 emplacements de preuve

Résultats des risques

Les problèmes de sécurité confirmés sont séparés des éléments qui nécessitent encore une vérification.

Préoccupations de sécurité confirmées (4)

RISK-001 Moyen
SKILL.md:124-133
Scaffolding Writes Are Not Confined to the Destination
After copying the template, the example uses '> temp && mv temp SKILL.md' without changing directories. Following it can overwrite the caller's SKILL.md; a preexisting temp symlink can redirect truncation to another writable file.
The complete scaffolding block contains relative writes and no destination directory change or collision checks. Damage requires executing the documented example with scaffolding enabled.
RISK-002 Faible
templates/project-testing/SKILL.md:1
Unscanned file (invalid_frontmatter) — manual review required
[unscanned: invalid_frontmatter]
Force-confirmed metadata/low static finding; AI false-positive verdict rejected.
RISK-003 Faible
templates/project-research/SKILL.md:1
Unscanned file (invalid_frontmatter) — manual review required
[unscanned: invalid_frontmatter]
Force-confirmed metadata/low static finding; AI false-positive verdict rejected.
RISK-004 Faible
templates/project-domain/SKILL.md:1
Unscanned file (invalid_frontmatter) — manual review required
[unscanned: invalid_frontmatter]
Force-confirmed metadata/low static finding; AI false-positive verdict rejected.

Mesures correctives

Les correctifs suggérés par cet audit sont consignés. Leur application relève de la responsabilité du responsable de la maintenance.

  1. FIX-001
    Moyen
    Scaffolding writes to relative files without entering the generated skill directory.
    Resolve every output beneath the approved destination, reject existing files and symlinks, and use unique temporary files before atomic replacement.
  2. FIX-002
    Moyen
    The scaffolding example uses an unquoted target path and inserts the project name directly into a sed expression.
    Validate project identifiers, quote target paths, enforce repository containment, and use literal template replacement instead of interpolating sed syntax.
  3. FIX-003
    Faible
    Template names contain unquoted placeholders, and the generation example prepends a comment before YAML frontmatter.
    Quote placeholder names, render them before loading, keep frontmatter first, and validate each generated skill before activation.

Preuves d’experts

Identité immuable du sujet, métadonnées du scanner, correspondances ignorées et éléments de preuve au niveau de la source.

Sujet de l’artefact

Commit Marketplace
a97d7edf7f0f20a32837c04a3936b78615ff5cfa
Empreinte du contenu
bde7ed2e93547a370475c4af5f1d2b9d9239cd131f37617d01e2455d343d4b30
Empreinte de l’arborescence
5c629d8e67d166fee8d82b5d3e280ec9bd8526ae8a35d3419aff46ab589c29f4
Chemin du Skill
skills/consiliency/stack-analyzer
Empreinte de la charge d’audit
1f392f71b174043d30a25ac7dcbb6492

Métadonnées d’analyse

Modèle d’audit: codex

État de l’analyse: Terminé

Le périmètre est limité aux fichiers, lignes, méthodes et éléments de preuve enregistrés. Aucune exécution en environnement d’exécution ou en bac à sable n’est déclarée.

Vérifier et exporter

Rapport JSON Attestation d’audit signée CITATION.cff SARIF 2.1.0 Manifeste d’installation signé Source

Le manifeste et le fichier de verrouillage lient les artefacts d’installation à des hachages cryptographiques. Cette affirmation d’intégrité est distincte de l’évaluation de sécurité.

Attestation d’audit: active