Ce rapport n’est pas traduit dans la langue demandée. Le rapport anglais canonique est affiché à la place.

Évaluation de sécurité versionnée

ID du rapport: SA-C43861A6

7/23/2026, 2:27:56 PM

gh-address-comments évaluation de sécurité v9

Rapport de certification de sécurité de la compétence

Historique des audits
Version du scanner 3.0.0 Modèle d’audit: codex Dernier rapport publié
Nom de la compétence
gh-address-comments
Version
v9
Mainteneur
davila7
Source
github.com/davila7/claude-code-templates/tree/main/cli-tool/components/skills/development/gh-address-comments
Couverture
1 Fichiers analysés · 32 Lignes analysées
Version de la politique
skillstore-security-audit-policy-v1

Gravité la plus élevée des résultats confirmés

Élevé

1 constat de sécurité confirmé nécessite une attention.

Contexte d’installation

Consultez la page Skill actuelle

Cette page résume uniquement les éléments de preuve du rapport. La page de la Skill fournit l’avis d’installation canonique.

Ouvrir la page Skill actuelle

Ce rapport ne bloque ni n’autorise le manifeste ou le ZIP.

Three backtick detections are Markdown code spans, and the fixed date substitution has no injection path. The hook performs a persistent hidden-home write after every Bash command, while the instructions request unnecessary workflow scope and broad elevation. Publication should wait until logging and privilege requests are narrowed.

Position du rapport

Dernier rapport publié

Dernier fait référence à la séquence des rapports, et non à l’actualité de l’artefact.

Attestation d’audit

Attestation active

Une attestation publique est disponible pour ce rapport exact.

Vérification humaine

Non vérifié

Aucune vérification humaine n’est enregistrée pour ce rapport.

Couverture

1 Fichiers analysés · 32 Lignes analysées

3 éléments affichés pour révision

Limitations

Ce rapport ne prétend pas à une exécution en environnement d’exécution ou en bac à sable et ne prouve pas l’absence d’effets secondaires.

Chaîne de preuves

Suivez les preuves depuis la liaison à la source jusqu’au contrat d’installation. Les preuves disponibles permettent la vérification ; elles ne constituent pas une garantie de sécurité.

  1. Source

    Commit et chemin liés

  2. Artefact

    Hachages du contenu et de l’arborescence liés

  3. Audit

    Terminé

  4. Contrat d’installation

    Ouvrir le manifeste pour vérifier

    Ouvrir le manifeste

Fonctionnalités observées

Observé signifie que ce rapport a consigné des éléments de preuve à l’appui. Non enregistré ne prouve pas qu’une capacité est absente.

Contient des scripts

Peut exécuter du code inclus avec la Skill.

Non enregistré par cet audit

Accès réseau

Peut se connecter à des services externes.

Non enregistré par cet audit

Accès au système de fichiers

Peut lire ou écrire des fichiers locaux.

Observé dans 1 emplacement de preuve

Variables d’environnement

Peut lire des valeurs depuis l’environnement du processus.

Non enregistré par cet audit

Commandes externes

Peut appeler des commandes ou des programmes en dehors de la Skill.

Observé dans 4 emplacements de preuve

Éléments d’évaluation des capacités (2)
Élevé
SKILL.md:11
Hidden file in home directory
command: "echo \"[$(date)] GH Address Comments: Executed gh command to address PR comments\" >> ~/.c
The PostToolUse hook appends to ~/.claude/gh-address-comments.log after every Bash action. This creates persistent, unbounded hidden state outside the project.
Moyen
SKILL.md:11
Hidden file access
command: "echo \"[$(date)] GH Address Comments: Executed gh command to address PR comments\" >> ~/.c
Line 11 writes to a hidden path under the user's home directory through shell redirection. The broad Bash matcher triggers this side effect beyond gh commands.

Résultats des risques

Les problèmes de sécurité confirmés sont séparés des éléments qui nécessitent encore une vérification.

Préoccupations de sécurité confirmées (1)

RISK-001 Élevé
SKILL.md:16-18
Excessive GitHub Scope and Elevation Request
The instructions elevate all gh commands and request workflow/repo scopes. Comment handling does not justify workflow scope.
Line 18 explicitly requests workflow scope and sandbox escalation, while line 16 broadens elevation to every gh command.

Mesures correctives

Les correctifs suggérés par cet audit sont consignés. Leur application relève de la responsabilité du responsable de la maintenance.

  1. FIX-001
    Élevé
    A broad PostToolUse hook appends to a hidden file after every Bash command.
    Remove the hook, or use a user-approved project log restricted to relevant gh operations with size controls.
  2. FIX-002
    Élevé
    The instructions request workflow scope and blanket elevated access for gh commands.
    Request only the minimum GitHub scopes and elevate individual commands only after explicit user approval.

Preuves d’experts

Identité immuable du sujet, métadonnées du scanner, correspondances ignorées et éléments de preuve au niveau de la source.

Sujet de l’artefact

Commit Marketplace
c43861a65bb95efcae259cd161c9d6f4dc7eec6f
Empreinte du contenu
de973d9e10e510373b5817e951e308b3494d1876d253231f67a35b32fe88f973
Empreinte de l’arborescence
63cd9d1113cead3ab1255834bc7e730f2e78a5824c22f52480b89844e1f0f165
Chemin du Skill
skills/davila7/gh-address-comments
Empreinte de la charge d’audit
531f1ea1f7864f9778a00cbbe2a4f5b2

Métadonnées d’analyse

Modèle d’audit: codex

État de l’analyse: Terminé

Le périmètre est limité aux fichiers, lignes, méthodes et éléments de preuve enregistrés. Aucune exécution en environnement d’exécution ou en bac à sable n’est déclarée.

Vérifier et exporter

Rapport JSON Attestation d’audit signée CITATION.cff SARIF 2.1.0 Manifeste d’installation signé Source

Le manifeste et le fichier de verrouillage lient les artefacts d’installation à des hachages cryptographiques. Cette affirmation d’intégrité est distincte de l’évaluation de sécurité.

Attestation d’audit: active