📦
Historique des audits
syncbook - 1 audit
Version de l’audit 1 Dernier
25 oct. 2026, 22:41
Most static detections are benign documentation, JavaScript syntax, or private credential storage; no evidence of deliberate credential theft was found. The shared request helper can forward sensitive bodies through redirects, and remote prompts introduce an unpinned instruction trust boundary.
6
Fichiers analysés
308
Lignes analysées
6
Éléments à examiner
0
Faux positifs ignorés
Préoccupations de sécurité confirmées (1)
Moyen
Unpinned Remote Instructions Enter Agent Workflows
The skill says to read the 'complete coordination handoff' and create a weekly job using a live remote prompt. No pinned version or review step protects against changed instructions entering a persistent task with authorized connectors.
The source explicitly delegates coordination and scheduled instructions to mutable remote text without integrity checks. No evidence of an actual malicious remote payload was found.
Éléments d’évaluation des capacités (1)
Il s’agit de capacités locales réelles qui peuvent être attendues pour cette compétence ; elles nécessitent donc un examen, mais ne sont pas comptabilisées comme comportement malveillant confirmé.
Moyen
Fetch API call
async function call(path,method='GET',data,privateAccess=false){const headers={};if(data!==undefined
Fetch follows redirects without rechecking the origin allowlist. A 307 or 308 response can forward profile data or the status request's token body externally.
Facteurs de risque
🌐 Accès réseau (12)
📁 Accès au système de fichiers (3)
⚙️ Commandes externes (14)
🔑 Variables d’environnement (4)
Audité par: codex