Ce rapport n’est pas traduit dans la langue demandée. Le rapport anglais canonique est affiché à la place.

Évaluation de sécurité versionnée

ID du rapport: SA-D0890CE2

10/27/2026, 4:04:54 AM

brewpage-publish évaluation de sécurité v7

Rapport de certification de sécurité de la compétence

Historique des audits
Version du scanner 3.0.0 Modèle d’audit: codex Rapport historique
Nom de la compétence
brewpage-publish
Version
v7
Mainteneur
kochetkov-ma
Source
github.com/kochetkov-ma/claude-brewcode/tree/d2d42282fecec988447f9c9547959b31a8012644/skills/brewpage-publish
Couverture
7 Fichiers analysés · 1,268 Lignes analysées
Version de la politique
skillstore-security-audit-policy-v1

Gravité la plus élevée des résultats confirmés

Moyen

1 constat de sécurité confirmé nécessite une attention.

Contexte d’installation

Éléments historiques

Ce rapport peut ne pas décrire l’artefact actuellement installable. Ouvrez la page actuelle de la Skill pour obtenir des conseils d’installation.

Ouvrir la page Skill actuelle

Ce rapport ne bloque ni n’autorise le manifeste ou le ZIP.

All 261 static findings are false positives involving documentation, defensive checks, or intended publishing operations. No evidence found of credential theft, encoded payloads, or audit-directed prompt injection. One semantic risk remains: a concurrently modified source ZIP can bypass archive inspection and sensitive-entry confirmation before upload.

Position du rapport

Rapport historique

Ouvrir l’historique des audits avant d’utiliser ce rapport pour installer.

Attestation d’audit

Attestation remplacée

Une attestation plus récente existe.

Vérification humaine

Non vérifié

Aucune vérification humaine n’est enregistrée pour ce rapport.

Couverture

7 Fichiers analysés · 1,268 Lignes analysées

1 élément affiché pour révision

Limitations

Ce rapport ne prétend pas à une exécution en environnement d’exécution ou en bac à sable et ne prouve pas l’absence d’effets secondaires.

Chaîne de preuves

Suivez les preuves depuis la liaison à la source jusqu’au contrat d’installation. Les preuves disponibles permettent la vérification ; elles ne constituent pas une garantie de sécurité.

  1. Source

    Commit et chemin liés

  2. Artefact

    Hachages du contenu et de l’arborescence liés

  3. Audit

    Terminé

  4. Contrat d’installation

    Ouvrir le manifeste pour vérifier

    Ouvrir le manifeste

Fonctionnalités observées

Observé signifie que ce rapport a consigné des éléments de preuve à l’appui. Non enregistré ne prouve pas qu’une capacité est absente.

Contient des scripts

Peut exécuter du code inclus avec la Skill.

Non enregistré par cet audit

Accès réseau

Peut se connecter à des services externes.

Observé dans 14 emplacements de preuve

Accès au système de fichiers

Peut lire ou écrire des fichiers locaux.

Observé dans 31 emplacements de preuve

Variables d’environnement

Peut lire des valeurs depuis l’environnement du processus.

Observé dans 4 emplacements de preuve

Commandes externes

Peut appeler des commandes ou des programmes en dehors de la Skill.

Observé dans 50 emplacements de preuve

Résultats des risques

Les problèmes de sécurité confirmés sont séparés des éléments qui nécessitent encore une vérification.

Préoccupations de sécurité confirmées (1)

RISK-001 Moyen
scripts/brewpage-run.sh:200-207
Archive Validation Is Not Bound to Uploaded Bytes
The supplied ZIP is inspected, then curl reopens its original path for upload. A concurrent writer can replace its contents between steps, bypassing archive checks and sensitive-entry confirmation.
The site-zip branch assigns the original path to archive and passes that path separately to inspection and curl. Exploitation requires concurrent source write access.

Mesures correctives

Les correctifs suggérés par cet audit sont consignés. Leur application relève de la responsabilité du responsable de la maintenance.

  1. FIX-001
    Moyen
    Supplied ZIP inspection and upload independently reopen a mutable source path, so the uploaded bytes can differ from the inspected bytes.
    Copy the ZIP into the private run directory using a bounded read. Inspect and upload only that protected snapshot, then remove it during cleanup.

Preuves d’experts

Identité immuable du sujet, métadonnées du scanner, correspondances ignorées et éléments de preuve au niveau de la source.

Sujet de l’artefact

Commit Marketplace
d0890ce2c604a2d107a7fc44f7c85f24a072fbe5
Empreinte du contenu
b15355ed8c401f28f23f94bd44f7148b639bc6979c8955de9f937244b1dcad27
Empreinte de l’arborescence
f3abe8d11326c4a5221e89a47b3f1b04ea2be77e9acacec3ace7ba2bb4467262
Chemin du Skill
skills/kochetkov-ma/brewpage-publish
Empreinte de la charge d’audit
e09230caf2dc8c6c9e90ad06f5af86e8

Métadonnées d’analyse

Modèle d’audit: codex

État de l’analyse: Terminé

Le périmètre est limité aux fichiers, lignes, méthodes et éléments de preuve enregistrés. Aucune exécution en environnement d’exécution ou en bac à sable n’est déclarée.

Vérifier et exporter

Rapport JSON Attestation d’audit signée CITATION.cff SARIF 2.1.0 Manifeste d’installation signé Source

Le manifeste et le fichier de verrouillage lient les artefacts d’installation à des hachages cryptographiques. Cette affirmation d’intégrité est distincte de l’évaluation de sécurité.

Attestation d’audit: superseded