Compétences media-downloader

📦

media-downloader

Name: media-downloader
Author: yizhiyanhua-ai

Révision du contenu r1 Risque élevé ⚙️ Commandes externes🌐 Accès réseau📁 Accès au système de fichiers🔑 Variables d’environnement

Télécharger et découper des ressources multimédias

Trouver des images et des clips exploitables parmi différentes sources multimédias prend du temps et nécessite un nettoyage manuel. Cette compétence recherche auprès de fournisseurs approuvés, télécharge les ressources et découpe les vidéos dans un seul workflow.

Prend en charge: Claude Codex Code(CC)

⚠️ 38 Médiocre

Maintain this Skill? Claim it ⚠️ 38 Médiocre

Arrêtez-vous et demandez confirmation avant l’installation.

Examinez le plan et obtenez le consentement explicite de l’utilisateur avant de modifier des fichiers.

Installer avec mon Agent

Copiez cette demande dans votre Agent. Elle contient la page Skill de référence et le manifeste.

Demande d’agent

Review the Skillstore skill "media-downloader" from https://skillstore.io/skills/yizhiyanhua-ai-media-downloader.md and its manifest at https://skillstore.io/api/skills/yizhiyanhua-ai-media-downloader/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Votre Agent doit toujours présenter son plan et demander toute confirmation exigée par la politique de sécurité.

Ressources lisibles par les agents

Utilisez ces liens lorsqu’un Agent IA, un crawler ou un script a besoin d’un contexte propre au lieu de lire toute la page.

Détail Markdown GET /skills/yizhiyanhua-ai-media-downloader.md manifest signé GET /api/skills/yizhiyanhua-ai-media-downloader/manifest lockfile signé GET /api/skills/yizhiyanhua-ai-media-downloader/lockfile

Tester

Utilisation de « media-downloader ». Télécharge 5 photos de chats.

Résultat attendu:

La compétence recherche dans les fournisseurs d’images configurés, télécharge les photos correspondantes et indique le chemin du dossier d’enregistrement.

Utilisation de « media-downloader ». Télécharge une vidéo de nuit urbaine de 30 secondes.

Résultat attendu:

La compétence trouve des résultats de vidéos de stock, télécharge un clip correspondant, le découpe si nécessaire et liste l’emplacement du fichier final.

Utilisation de « media-downloader ». Vérifie l’état du téléchargeur de médias.

Résultat attendu:

La compétence indique si les clés API, requests, yt-dlp et ffmpeg sont disponibles.

Audit de sécurité

Risque élevé

v5 • 08/07/2026 Ouvrir le rapport versionné

The skill performs the advertised media search, download, and trimming workflow, but it uses external services, yt-dlp, ffmpeg, environment API keys, and local file writes. Several static alerts are documentation or placeholder false positives, while user-controlled filenames, unbounded downloads, and broad video download support remain real risks. No prompt injection attempt was found in the reviewed files.

Fichiers analysés

1,382

Lignes analysées

Éléments à examiner

Faux positifs ignorés

Préoccupations de sécurité confirmées (3)

Élevé

media_cli.py:436-442 media_cli.py:481-485

Unsanitized Query Text Used In Filenames

Image and video filenames are built from the user search query without removing path separators. A crafted query could write downloaded content outside the intended output folder.

The filename is derived directly from args.query and joined with output_dir before writing downloaded bytes. The reviewed code does not normalize or constrain the final path.

Moyen

media_cli.py:139-143 media_cli.py:281-285

Unbounded Streaming Downloads To Disk

The download loops stream response bodies to disk without checking Content-Length, content type, or a maximum byte limit. Large responses can exhaust disk space.

Both image and video download functions write chunks until the server finishes. I found no size cap or MIME validation in the reviewed code paths.

Moyen

SKILL.md:132-138 media_cli.py:686-692

Unrestricted Third-Party Video Download Workflow

The skill explicitly supports downloading and extracting audio from YouTube URLs. This can enable copyright or terms-of-service abuse if used without rights checks.

The documentation advertises YouTube download and audio-only workflows, and the CLI exposes matching options. The code does not include license or authorization checks.

Éléments d’évaluation des capacités (38)

Il s’agit de capacités locales réelles qui peuvent être attendues pour cette compétence ; elles nécessitent donc un examen, mais ne sont pas comptabilisées comme comportement malveillant confirmé.

Élevé

media_cli.py:249

Python subprocess.run

result = subprocess.run(cmd, capture_output=True, text=True, timeout=30)

yt-dlp is invoked with a user-provided search query. There is no shell expansion, but an external downloader processes network content based on user input.

Élevé

media_cli.py:316

Python subprocess.run

result = subprocess.run(cmd, capture_output=True, text=True, timeout=300)

yt-dlp is invoked with a user-provided URL and writes downloaded media locally. The command is argument-vector based, but it still gives an external downloader broad network and file effects.

Élevé

media_cli.py:354

Python subprocess.run

result = subprocess.run(cmd, capture_output=True, text=True)

ffprobe is invoked on a user-selected media path. There is no shell injection, but external media parsers process untrusted or downloaded files.

Élevé

media_cli.py:387

Python subprocess.run

result = subprocess.run(cmd, capture_output=True, timeout=120)

ffmpeg is invoked on user-selected input and output paths. There is no shell invocation, but transcoding untrusted media through an external binary is a real execution risk.

Élevé

media_cli.py:32

Generic API/secret keys

PEXELS_API_KEY = os.environ.get('PEXELS_API_KEY', '')

The source references API-key environment variables rather than hardcoded secrets. It is still confirmed sensitive secret handling because those values are used for outbound API calls.

Élevé

media_cli.py:34

Generic API/secret keys

PIXABAY_API_KEY = os.environ.get('PIXABAY_API_KEY', '')

The source references API-key environment variables rather than hardcoded secrets. It is still confirmed sensitive secret handling because those values are used for outbound API calls.

Élevé

media_cli.py:49

Generic API/secret keys

headers = {"Authorization": PEXELS_API_KEY}

The code sends the Pexels API key in an Authorization header to the Pexels API. This is expected, but it is real use of an environment credential in a network request.

Élevé

media_cli.py:100

Generic API/secret keys

url = f"https://pixabay.com/api/?key={PIXABAY_API_KEY}&q={quote_plus(query)}&per_page={count}&image_

The code places the Pixabay API key into a URL query parameter. Query-string secrets are more likely to leak through logs, proxies, or diagnostics.

Élevé

media_cli.py:180

Generic API/secret keys

headers = {"Authorization": PEXELS_API_KEY}

The code sends the Pexels API key in an Authorization header to the Pexels API. This is expected, but it is real use of an environment credential in a network request.

Élevé

media_cli.py:210

Generic API/secret keys

url = f"https://pixabay.com/api/videos/?key={PIXABAY_API_KEY}&q={quote_plus(query)}&per_page={count}

The code places the Pixabay API key into a URL query parameter. Query-string secrets are more likely to leak through logs, proxies, or diagnostics.

Élevé

README_CN.md:130

Hidden file in home directory

~/.claude/skills/media-downloader/downloads/

The documented default stores downloaded media under a hidden Claude skills directory. Users may not notice files accumulating in this location.

Élevé

README.md:130

Hidden file in home directory

~/.claude/skills/media-downloader/downloads/

The documented default stores downloaded media under a hidden Claude skills directory. Users may not notice files accumulating in this location.

Élevé

SKILL.md:93

Hidden file in home directory

**macOS / Linux 用户**,编辑 `~/.zshrc` 或 `~/.bashrc`:

The documentation tells users to edit or source hidden shell startup files for API key setup. Persisting secrets there exposes them to future shells and tools.

Élevé

SKILL.md:102

Hidden file in home directory

保存后运行 `source ~/.zshrc` 使配置生效。

The documentation tells users to edit or source hidden shell startup files for API key setup. Persisting secrets there exposes them to future shells and tools.

Élevé

SKILL.md:147

Hidden file in home directory

~/.claude/skills/media-downloader/downloads/

The skill documents a default download directory under ~/.claude. Hidden storage for downloaded media can reduce user visibility and cleanup.

Moyen

media_cli.py:100

Hardcoded URL

url = f"https://pixabay.com/api/?key={PIXABAY_API_KEY}&q={quote_plus(query)}&per_page={count}&image_

The request targets Pixabay and includes the API key in the URL query string. Query-string credentials can be recorded in logs and network traces.

Moyen

media_cli.py:210

Hardcoded URL

url = f"https://pixabay.com/api/videos/?key={PIXABAY_API_KEY}&q={quote_plus(query)}&per_page={count}

The request targets Pixabay and includes the API key in the URL query string. Query-string credentials can be recorded in logs and network traces.

Moyen

media_cli.py:141

Python file write/append

with open(filepath, 'wb') as f:

The code writes bytes fetched from external media URLs to disk. The destination is influenced by user options and generated filenames, so this is a real filesystem risk.

Moyen

media_cli.py:283

Python file write/append

with open(filepath, 'wb') as f:

The code writes bytes fetched from external media URLs to disk. The destination is influenced by user options and generated filenames, so this is a real filesystem risk.

Moyen

media_cli.py:400

Python shutil operations

shutil.copy(input_path, output_path)

The code copies a media file to a caller-provided output path during trimming. Without containment checks, this can write to unexpected locations.

Moyen

media_cli.py:135

Python os file operations

os.makedirs(output_dir, exist_ok=True)

The code creates the selected output directory before downloading media. Because the output path can come from CLI arguments, it can create arbitrary user-writable directories.

Moyen

media_cli.py:277

Python os file operations

os.makedirs(output_dir, exist_ok=True)

The code creates the selected output directory before downloading media. Because the output path can come from CLI arguments, it can create arbitrary user-writable directories.

Moyen

media_cli.py:299

Python os file operations

os.makedirs(output_dir, exist_ok=True)

The code creates the selected output directory before downloading media. Because the output path can come from CLI arguments, it can create arbitrary user-writable directories.

Moyen

media_cli.py:494

Python os file operations

os.remove(path)

The trim flow deletes or renames files after processing. With user-controlled output paths and generated filenames, unexpected files could be affected.

Moyen

media_cli.py:495

Python os file operations

os.rename(trimmed_path, path)

The trim flow deletes or renames files after processing. With user-controlled output paths and generated filenames, unexpected files could be affected.

Moyen

media_cli.py:534

Python os file operations

os.remove(path)

The trim flow deletes or renames files after processing. With user-controlled output paths and generated filenames, unexpected files could be affected.

Moyen

media_cli.py:535

Python os file operations

os.rename(trimmed_path, path)

The trim flow deletes or renames files after processing. With user-controlled output paths and generated filenames, unexpected files could be affected.

Moyen

README_CN.md:130

Hidden file access

~/.claude/skills/media-downloader/downloads/

The documented default stores downloaded media under a hidden Claude skills directory. Users may not notice files accumulating in this location.

Moyen

README.md:130

Hidden file access

~/.claude/skills/media-downloader/downloads/

The documented default stores downloaded media under a hidden Claude skills directory. Users may not notice files accumulating in this location.

Moyen

SKILL.md:93

Hidden file access

**macOS / Linux 用户**,编辑 `~/.zshrc` 或 `~/.bashrc`:

The documentation tells users to edit or source hidden shell startup files for API key setup. Persisting secrets there exposes them to future shells and tools.

Moyen

SKILL.md:102

Hidden file access

保存后运行 `source ~/.zshrc` 使配置生效。

The documentation tells users to edit or source hidden shell startup files for API key setup. Persisting secrets there exposes them to future shells and tools.

Moyen

SKILL.md:147

Hidden file access

~/.claude/skills/media-downloader/downloads/

The skill documents a default download directory under ~/.claude. Hidden storage for downloaded media can reduce user visibility and cleanup.

Faible

media_cli.py:48

Hardcoded URL

url = f"https://api.pexels.com/v1/search?query={quote_plus(query)}&per_page={count}"

The skill sends user search terms to a third-party media API. This is declared functionality, but it is real external network egress.

Faible

media_cli.py:74

Hardcoded URL

url = f"https://api.unsplash.com/search/photos?query={quote_plus(query)}&per_page={count}"

The skill sends user search terms to a third-party media API. This is declared functionality, but it is real external network egress.

Faible

media_cli.py:179

Hardcoded URL

url = f"https://api.pexels.com/videos/search?query={quote_plus(query)}&per_page={count}"

The skill sends user search terms to a third-party media API. This is declared functionality, but it is real external network egress.

Faible

media_cli.py:32

Python environment access

PEXELS_API_KEY = os.environ.get('PEXELS_API_KEY', '')

The code reads API credentials from environment variables. This is intended configuration, but environment secret access is still sensitive.

Faible

media_cli.py:33

Python environment access

UNSPLASH_ACCESS_KEY = os.environ.get('UNSPLASH_ACCESS_KEY', '')

The code reads API credentials from environment variables. This is intended configuration, but environment secret access is still sensitive.

Faible

media_cli.py:34

Python environment access

PIXABAY_API_KEY = os.environ.get('PIXABAY_API_KEY', '')

The code reads API credentials from environment variables. This is intended configuration, but environment secret access is still sensitive.

Facteurs de risque

⚙️ Commandes externes (29)

🌐 Accès réseau (16)

media_cli.py:41 media_cli.py:154 media_cli.py:48 media_cli.py:74 media_cli.py:100 media_cli.py:179 media_cli.py:210 media_cli.py:257 README_CN.md:110 README.md:110 SKILL.md:69 SKILL.md:71 SKILL.md:77 SKILL.md:79 SKILL.md:84 SKILL.md:135

📁 Accès au système de fichiers (26)

🔑 Variables d’environnement (24)

Audité par: codex Voir l’historique des audits →

Partager et citer ce rapport

Partagez le rapport d’évaluation versionné, le badge neutre, la carte intégrable et les citations. Skillstore présente les preuves sans décider si ce Skill est sûr.

Ouvrir le rapport versionné

Copier le lien du rapport

https://skillstore.io/skills/yizhiyanhua-ai-media-downloader/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Badge Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/yizhiyanhua-ai-media-downloader/security.svg)](https://skillstore.io/skills/yizhiyanhua-ai-media-downloader?utm_source=security_passport_badge)

Badge HTML

<a href="https://skillstore.io/skills/yizhiyanhua-ai-media-downloader?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/yizhiyanhua-ai-media-downloader/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Carte intégrable

<iframe src="https://skillstore.io/embed/skills/yizhiyanhua-ai-media-downloader.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citations académiques (APA · BibTeX · CFF)

Citation APA

yizhiyanhua-ai. (2026). media-downloader security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/yizhiyanhua-ai-media-downloader/audits/5

Citation BibTeX

@techreport{yizhiyanhua-ai-yizhiyanhua-ai-media-downloader-2026,
  author = {yizhiyanhua-ai},
  title = {media-downloader security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/yizhiyanhua-ai-media-downloader/audits/5},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "media-downloader security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
  - name: "yizhiyanhua-ai"
date-released: "2026-07-08"
url: "https://skillstore.io/skills/yizhiyanhua-ai-media-downloader/audits/5"
identifiers:
  - type: other
    value: "skillstore:yizhiyanhua-ai-media-downloader:audit:5"
    description: "Skillstore immutable audit report identifier"

Score Skillstore

Pourquoi ce score Niveau de confiance des preuves: Moyen

Architecture

Maintenabilité

Contenu

Communauté

Conformité aux spécifications

Ce que vous pouvez créer

Collecter des images conceptuelles

Trouver et télécharger des images de référence pour un moodboard de conception ou un brief créatif.

Préparer de courts clips d’arrière-plan

Télécharger des clips de stock et les découper à une durée fixe pour des présentations ou des publications sur les réseaux sociaux.

Extraire des segments de révision

Télécharger un segment spécifique d’une vidéo YouTube pour une revue privée ou des notes de montage.

Essayez ces prompts

Télécharger des images de base

Télécharge 5 images de paysages et enregistre-les dans le dossier par défaut du téléchargeur de médias.

Trouver une courte vidéo de stock

Trouve 3 clips vidéo de vagues océaniques de moins de 20 secondes et télécharge-les pour revue.

Découper un segment YouTube

Télécharge cette vidéo YouTube de 90 secondes à 120 secondes et enregistre uniquement ce clip.

Créer un pack multimédia

Crée un pack multimédia de projet avec 8 photos de café et 2 courts clips d’ambiance de moins de 15 secondes.

Bonnes pratiques

Définissez les clés API uniquement dans des variables d’environnement locales de confiance.
Utilisez un dossier de sortie dédié pour chaque projet.
Vérifiez les licences des fournisseurs avant de publier les médias téléchargés.

Éviter

Ne téléchargez pas de médias depuis des URLs auxquelles vous ne faites pas confiance.
N’utilisez pas de séparateurs de chemin ni de syntaxe shell dans les requêtes de recherche.
Ne supposez pas que chaque résultat YouTube ou de stock est sous licence pour votre utilisation.

Foire aux questions

Cette compétence a-t-elle besoin de clés API ?

Oui, pour la recherche d’images et de vidéos de stock. Le téléchargement YouTube utilise yt-dlp et ne nécessite pas ces clés API.

Où les téléchargements sont-ils enregistrés ?

Par défaut, les fichiers sont enregistrés dans le dossier de téléchargements de la compétence. Les utilisateurs peuvent choisir un autre répertoire de sortie.

Peut-elle découper des vidéos ?

Oui. Elle utilise ffmpeg pour découper par heure de début, heure de fin ou durée cible.

Est-il sûr de publier les ressources téléchargées ?

Vous devez vérifier la licence de la source et les droits d’utilisation de chaque ressource avant publication.

Pourquoi cette compétence est-elle marquée comme risque moyen ?

Elle utilise des requêtes réseau, des clés API, des écritures de fichiers locaux et des outils multimédias externes. Ce sont des opérations attendues mais sensibles.

Envoie-t-elle mes clés API à des serveurs inconnus ?

Aucune preuve d’exfiltration inconnue n’a été trouvée. Les clés sont utilisées pour les requêtes Pexels, Pixabay et Unsplash annoncées.