Compétences receipt-scanning-tools
📦
receipt-scanning-tools
Révision du contenu r1 Risque élevé ⚙️ Commandes externes🌐 Accès réseau📁 Accès au système de fichiers🔑 Variables d’environnement
Gérer la numérisation des reçus d'un organisme à but non lucratif
Les workflows de reçus nécessitent souvent une saisie manuelle, une configuration OCR et des vérifications de base de données réparties sur plusieurs scripts. Cette compétence fournit aux opérateurs des commandes, schémas et étapes de dépannage propres au projet pour les outils de reçus.
Prend en charge: Claude Codex Code(CC)
Arrêtez-vous et demandez confirmation avant l’installation.
Examinez le plan et obtenez le consentement explicite de l’utilisateur avant de modifier des fichiers.
Installer avec mon Agent
Copiez cette demande dans votre Agent. Elle contient la page Skill de référence et le manifeste.
Demande d’agent
Review the Skillstore skill "receipt-scanning-tools" from https://skillstore.io/skills/egadams-receipt-scanning-tools.md and its manifest at https://skillstore.io/api/skills/egadams-receipt-scanning-tools/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.Votre Agent doit toujours présenter son plan et demander toute confirmation exigée par la politique de sécurité.
Ressources lisibles par les agents
Utilisez ces liens lorsqu’un Agent IA, un crawler ou un script a besoin d’un contexte propre au lieu de lire toute la page.
Tester
Utilisation de « receipt-scanning-tools ». Je dois ajouter un reçu d'épicerie de la semaine dernière.
Résultat attendu:
L'assistant demande le commerçant, le montant, la date, la catégorie de dépense et l'approbation finale. Il oriente ensuite l'utilisateur vers l'outil de saisie manuelle seulement après confirmation.
Utilisation de « receipt-scanning-tools ». L'outil de reçus indique que category_path n'existe pas.
Résultat attendu:
L'assistant explique que la table categories stocke les noms et les identifiants parents. Il recommande de construire le chemin à partir de la hiérarchie au lieu d'utiliser une colonne manquante.
Utilisation de « receipt-scanning-tools ». Je veux supprimer des dépenses en double d'une même date.
Résultat attendu:
L'assistant recommande d'examiner les dépenses récentes, de sauvegarder les données et de confirmer les critères exacts de suppression avant d'utiliser le workflow de suppression.
Audit de sécurité
Risque élevév8 • 05/07/2026 Ouvrir le rapport versionné
Most external command and system reconnaissance alerts are false positives caused by Markdown code fences, inline paths, and SQL examples. Confirmed risks remain for machine-specific hidden filesystem paths, .env credential guidance, and direct access to nonprofit finance database records. No prompt injection attempt was found, but the skill exposes personal finance context and includes destructive database workflows.
1
Fichiers analysés
455
Lignes analysées
6
Éléments à examiner
0
Faux positifs ignorés
Préoccupations de sécurité confirmées (15)
Élevé
Environment file access
# Environment variables in .env file
The skill points users or agents to a .env file that stores database and API credentials. Reading that file can expose secrets even though no exfiltration intent is shown.
Élevé
Environment file access
1. Check DB connection settings in `.env`
The skill points users or agents to a .env file that stores database and API credentials. Reading that file can expose secrets even though no exfiltration intent is shown.
Élevé
SQLite database file
from app.db import get_connection
The surrounding code pattern opens the finance database and writes merchant or expense records. That is sensitive database mutation in a financial workflow.
Élevé
SQLite database file
from app.db import get_connection
The surrounding code pattern opens the finance database and writes merchant or expense records. That is sensitive database mutation in a financial workflow.
Élevé
Personal and Nonprofit Financial Context Exposure
The skill includes real-looking names of ministry partners, workers, members, and gift recipients in a finance database context. This exposes personal or organizational financial context that should be anonymized before marketplace publication.
The cited lines list named people and organizations as categorized finance recipients. The names are visible in the skill text, so the privacy risk is direct.
Élevé
Destructive Financial Database Workflow
The skill references a delete-expenses-by-date tool and database initialization guidance without requiring backups or explicit confirmation in the instruction text. An agent following this workflow could remove or reset financial records.
The referenced deletion and initialization commands are explicit and relate to expense data. The file does not provide strong safety gates around those operations.
Moyen
SQLite database file
from app.db import get_connection
The surrounding code pattern opens the finance database for schema or expense queries. This can expose sensitive financial structure or records.
Moyen
SQLite database file
from app.db import get_connection
The surrounding code pattern opens the finance database for schema or expense queries. This can expose sensitive financial structure or records.
Afficher les 15 problèmes confirmés
Moyen
SQLite database file
from app.db import get_connection
The surrounding code pattern opens the finance database for schema or expense queries. This can expose sensitive financial structure or records.
Moyen
SQLite database file
2. Import database connection: `from app.db import get_connection`
Although the detector label says SQLite, the surrounding guidance uses app.db.get_connection against the nonprofit finance database. This can expose or modify financial records.
Moyen
SQLite database file
from app.db import get_connection
The surrounding code pattern opens the finance database for schema or expense queries. This can expose sensitive financial structure or records.
Moyen
SQLite database file
from app.db import get_connection
The surrounding code pattern opens the finance database for schema or expense queries. This can expose sensitive financial structure or records.
Moyen
SQLite database file
python3 -c "from app.db import get_connection; print('✓ Database connection OK')"
The surrounding code pattern opens the finance database for schema or expense queries. This can expose sensitive financial structure or records.
Moyen
SQLite database file
from app.db import get_connection
The surrounding code pattern opens the finance database for schema or expense queries. This can expose sensitive financial structure or records.
Moyen
SQLite database file
from app.db import get_connection
The surrounding code pattern opens the finance database for schema or expense queries. This can expose sensitive financial structure or records.
Éléments d’évaluation des capacités (6)
Il s’agit de capacités locales réelles qui peuvent être attendues pour cette compétence ; elles nécessitent donc un examen, mais ne sont pas comptabilisées comme comportement malveillant confirmé.
Moyen
Hidden file access
VENV_PATH=/home/adamsl/planner/.venv
The skill directs agents to a machine-specific hidden virtual environment under /home/adamsl/planner/.venv. That can cause host filesystem access outside the skill package.
Moyen
Hidden file access
source /home/adamsl/planner/.venv/bin/activate
The skill directs agents to a machine-specific hidden virtual environment under /home/adamsl/planner/.venv. That can cause host filesystem access outside the skill package.
Moyen
Hidden file access
source /home/adamsl/planner/.venv/bin/activate
The skill directs agents to a machine-specific hidden virtual environment under /home/adamsl/planner/.venv. That can cause host filesystem access outside the skill package.
Moyen
Hidden file access
source /home/adamsl/planner/.venv/bin/activate
The skill directs agents to a machine-specific hidden virtual environment under /home/adamsl/planner/.venv. That can cause host filesystem access outside the skill package.
Moyen
Hidden file access
**Fix**: `source /home/adamsl/planner/.venv/bin/activate`
The skill directs agents to a machine-specific hidden virtual environment under /home/adamsl/planner/.venv. That can cause host filesystem access outside the skill package.
Moyen
Hidden file access
source /home/adamsl/planner/.venv/bin/activate
The skill directs agents to a machine-specific hidden virtual environment under /home/adamsl/planner/.venv. That can cause host filesystem access outside the skill package.
Facteurs de risque
⚙️ Commandes externes (58)
SKILL.md:15-21 SKILL.md:21-24 SKILL.md:24-26 SKILL.md:26-29 SKILL.md:29-31 SKILL.md:31-36 SKILL.md:36-37 SKILL.md:37-38 SKILL.md:38-41 SKILL.md:41-42 SKILL.md:42-43 SKILL.md:43-44 SKILL.md:44-45 SKILL.md:45-50 SKILL.md:50-72 SKILL.md:72-75 SKILL.md:75-102 SKILL.md:102-105 SKILL.md:105-122 SKILL.md:122-125 SKILL.md:125-135 SKILL.md:135-140 SKILL.md:140-177 SKILL.md:177-180 SKILL.md:180-195 SKILL.md:195-225 SKILL.md:225-231 SKILL.md:231-237 SKILL.md:237-238 SKILL.md:238-240 SKILL.md:240-241 SKILL.md:241-246 SKILL.md:246-253 SKILL.md:253-256 SKILL.md:256-259 SKILL.md:259-264 SKILL.md:264-277 SKILL.md:277-280 SKILL.md:280-293 SKILL.md:293-296 SKILL.md:296-319 SKILL.md:319-322 SKILL.md:322-347 SKILL.md:347-350 SKILL.md:350-368 SKILL.md:368-374 SKILL.md:374-378 SKILL.md:378-383 SKILL.md:383-384 SKILL.md:384-387 SKILL.md:387-390 SKILL.md:390-395 SKILL.md:395-400 SKILL.md:400-404 SKILL.md:404-407 SKILL.md:407-416 SKILL.md:416-419 SKILL.md:419-427
🌐 Accès réseau (1)
📁 Accès au système de fichiers (6)
🔑 Variables d’environnement (1)
Audité par: codex Voir l’historique des audits →
Partager et citer ce rapport
Partagez le rapport d’évaluation versionné, le badge neutre, la carte intégrable et les citations. Skillstore présente les preuves sans décider si ce Skill est sûr.
Copier le lien du rapport
https://skillstore.io/skills/egadams-receipt-scanning-tools/audits/8?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportBadge Markdown
[](https://skillstore.io/skills/egadams-receipt-scanning-tools?utm_source=security_passport_badge)Badge HTML
<a href="https://skillstore.io/skills/egadams-receipt-scanning-tools?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/egadams-receipt-scanning-tools/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Carte intégrable
<iframe src="https://skillstore.io/embed/skills/egadams-receipt-scanning-tools.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Citations académiques (APA · BibTeX · CFF)
Citation APA
EGAdams. (2026). receipt-scanning-tools security audit report (audit version 8) [Author version unspecified]. Skillstore. https://skillstore.io/skills/egadams-receipt-scanning-tools/audits/8Citation BibTeX
@techreport{egadams-egadams-receipt-scanning-tools-2026,
author = {EGAdams},
title = {receipt-scanning-tools security audit report (audit version 8)},
institution = {Skillstore},
year = {2026},
number = {8},
url = {https://skillstore.io/skills/egadams-receipt-scanning-tools/audits/8},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "receipt-scanning-tools security audit report (audit version 8)"
version: "unspecified"
type: report
authors:
- name: "EGAdams"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/egadams-receipt-scanning-tools/audits/8"
identifiers:
- type: other
value: "skillstore:egadams-receipt-scanning-tools:audit:8"
description: "Skillstore immutable audit report identifier"
Score Skillstore
Pourquoi ce score Niveau de confiance des preuves: Moyen 55
Architecture
85
Maintenabilité
87
Contenu
71
Communauté
83
Conformité aux spécifications
Ce que vous pouvez créer
Enregistrer des reçus d'organisme à but non lucratif
Utilisez le workflow de saisie manuelle pour sélectionner les commerçants, les dates, les montants, les catégories et enregistrer les dépenses confirmées.
Maintenir les outils de reçus
Utilisez les notes de schéma et les modèles de code pour corriger des requêtes ou ajouter un nouvel outil de reçus en ligne de commande.
Examiner les données de dépenses
Utilisez les commandes de vérification de base de données pour inspecter les dépenses récentes, les totaux par catégorie et l'état de connexion avant les modifications.
Essayez ces prompts
Ouvrir le menu des reçus
Utilise cette compétence pour me montrer comment activer l'environnement du projet et ouvrir le menu des outils de reçus. Demande avant d'exécuter chaque commande.
Saisir un reçu manuel
Guide-moi dans la saisie manuelle d'un reçu pour une dépense d'organisme à but non lucratif. Demande le commerçant, le montant, la date, la catégorie et la confirmation avant l'enregistrement.
Corriger une requête de catégorie
Une requête a échoué avec une colonne category_path inconnue. Utilise le schéma documenté pour expliquer le problème et proposer une requête de chemin de catégorie plus sûre.
Planifier un nouvel outil de reçus
Crée un plan pour un nouvel outil de validation de reçus en ligne de commande qui suit les modèles existants du projet. Inclus des vérifications de sécurité de base de données et des étapes de test avant toute opération d'écriture.
Bonnes pratiques
- Confirmez avant d'exécuter toute commande qui écrit, supprime ou initialise des enregistrements de base de données.
- Remplacez les chemins absolus locaux et les exemples de noms par les valeurs du projet actif.
- Conservez les identifiants dans un stockage local de secrets et évitez de partager le contenu des fichiers d'environnement.
Éviter
- N'exécutez pas de commandes de suppression ou d'initialisation de base de données sans sauvegarde et approbation explicite.
- Ne collez pas de clés API, de mots de passe de base de données ni le contenu de fichiers d'environnement dans le chat.
- Ne considérez pas les exemples de schéma comme une preuve que les colonnes existent en production.
Foire aux questions
À quoi sert cette compétence ?
Elle aide les utilisateurs à exploiter et dépanner la numérisation de reçus, la saisie manuelle de reçus et les workflows de dépenses appuyés par une base de données.
Numérise-t-elle automatiquement les reçus ?
Elle documente la configuration OCR et les travaux de téléversement prévus. Les conseils actuels se concentrent sur la saisie manuelle et l'intégration à la base de données.
Quels outils d'IA peuvent l'utiliser ?
Le rapport indique une prise en charge de Claude, Codex et Claude Code.
Inclut-elle le code source de l'outil de reçus ?
Non. Elle référence des scripts de projet et fournit des modèles pour les utiliser ou les étendre.
De quels accès locaux a-t-elle besoin ?
Elle peut nécessiter l'accès au répertoire du projet, à l'environnement Python, aux paramètres de connexion à la base de données et à la configuration de l'API OCR.
Comment l'utiliser en toute sécurité ?
Examinez les commandes avant exécution, évitez de partager des secrets et sauvegardez les données financières avant les opérations d'écriture ou de suppression.