Ce rapport n’est pas traduit dans la langue demandée. Le rapport anglais canonique est affiché à la place.

Évaluation de sécurité versionnée

ID du rapport: SA-7AD822EF

10/26/2026, 10:31:17 PM

brewpage-publish évaluation de sécurité v6

Rapport de certification de sécurité de la compétence

Historique des audits
Version du scanner 3.0.0 Modèle d’audit: codex Rapport historique
Nom de la compétence
brewpage-publish
Version
v6
Mainteneur
kochetkov-ma
Source
github.com/kochetkov-ma/claude-brewcode/tree/d2d42282fecec988447f9c9547959b31a8012644/skills/brewpage-publish
Couverture
7 Fichiers analysés · 1,260 Lignes analysées
Version de la politique
skillstore-security-audit-policy-v1

Gravité la plus élevée des résultats confirmés

Élevé

1 constat de sécurité confirmé nécessite une attention.

Contexte d’installation

Éléments historiques

Ce rapport peut ne pas décrire l’artefact actuellement installable. Ouvrez la page actuelle de la Skill pour obtenir des conseils d’installation.

Ouvrir la page Skill actuelle

Ce rapport ne bloque ni n’autorise le manifeste ou le ZIP.

All 260 static alerts match documentation, exclusion patterns, intended service endpoints, or defensive local operations. A separate high-severity multipart path injection can upload unintended local files through crafted filenames. No evidence found of prompt injection or deliberate credential exfiltration.

Position du rapport

Rapport historique

Ouvrir l’historique des audits avant d’utiliser ce rapport pour installer.

Attestation d’audit

Attestation remplacée

Une attestation plus récente existe.

Vérification humaine

Non vérifié

Aucune vérification humaine n’est enregistrée pour ce rapport.

Couverture

7 Fichiers analysés · 1,260 Lignes analysées

1 élément affiché pour révision

Limitations

Ce rapport ne prétend pas à une exécution en environnement d’exécution ou en bac à sable et ne prouve pas l’absence d’effets secondaires.

Chaîne de preuves

Suivez les preuves depuis la liaison à la source jusqu’au contrat d’installation. Les preuves disponibles permettent la vérification ; elles ne constituent pas une garantie de sécurité.

  1. Source

    Commit et chemin liés

  2. Artefact

    Hachages du contenu et de l’arborescence liés

  3. Audit

    Terminé

  4. Contrat d’installation

    Ouvrir le manifeste pour vérifier

    Ouvrir le manifeste

Fonctionnalités observées

Observé signifie que ce rapport a consigné des éléments de preuve à l’appui. Non enregistré ne prouve pas qu’une capacité est absente.

Contient des scripts

Peut exécuter du code inclus avec la Skill.

Non enregistré par cet audit

Accès réseau

Peut se connecter à des services externes.

Observé dans 14 emplacements de preuve

Accès au système de fichiers

Peut lire ou écrire des fichiers locaux.

Observé dans 31 emplacements de preuve

Variables d’environnement

Peut lire des valeurs depuis l’environnement du processus.

Observé dans 4 emplacements de preuve

Commandes externes

Peut appeler des commandes ou des programmes en dehors de la Skill.

Observé dans 50 emplacements de preuve

Résultats des risques

Les problèmes de sécurité confirmés sont séparés des éléments qui nécessitent encore une vérification.

Préoccupations de sécurité confirmées (1)

RISK-001 Élevé
scripts/brewpage-run.sh:135-136scripts/brewpage-run.sh:183scripts/brewpage-run.sh:193-199
Multipart Path Injection Can Upload Unintended Local Files
Upload paths enter curl multipart syntax without filename escaping. A crafted existing path containing commas can select additional readable local files, sending their contents outside the approved source.
A loopback test used an existing comma-containing fixture path and reproduced an additional file upload. Shell quoting does not disable curl multipart parsing.

Mesures correctives

Les correctifs suggérés par cet audit sont consignés. Leur application relève de la responsabilité du responsable de la maintenance.

  1. FIX-001
    Élevé
    File and supplied-ZIP paths enter curl -F syntax without escaping, allowing commas to select unintended local files.
    Copy each validated source into the private run directory under a fixed safe basename before upload. Add regression tests for comma and semicolon filenames.

Preuves d’experts

Identité immuable du sujet, métadonnées du scanner, correspondances ignorées et éléments de preuve au niveau de la source.

Sujet de l’artefact

Commit Marketplace
7ad822ef13aa628e78d9da143046fd04fec0428e
Empreinte du contenu
b15355ed8c401f28f23f94bd44f7148b639bc6979c8955de9f937244b1dcad27
Empreinte de l’arborescence
bf8d970bf1108d6057b44d5834a35578f8879fe8e883a2f922d37aa86abac2dd
Chemin du Skill
skills/kochetkov-ma/brewpage-publish
Empreinte de la charge d’audit
daecbf174a8337257d045e9451fa5880

Métadonnées d’analyse

Modèle d’audit: codex

État de l’analyse: Terminé

Le périmètre est limité aux fichiers, lignes, méthodes et éléments de preuve enregistrés. Aucune exécution en environnement d’exécution ou en bac à sable n’est déclarée.

Vérifier et exporter

Rapport JSON Attestation d’audit signée CITATION.cff SARIF 2.1.0 Manifeste d’installation signé Source

Le manifeste et le fichier de verrouillage lient les artefacts d’installation à des hachages cryptographiques. Cette affirmation d’intégrité est distincte de l’évaluation de sécurité.

Attestation d’audit: superseded