このレポートには指定された言語の翻訳がありません。代わりに正規の英語レポートを表示しています。

バージョン付きセキュリティ評価

レポートID: SA-D71C7417

7/12/2026, 11:04:22 AM

budget-pacing-monitor セキュリティ評価 v3

スキルセキュリティ認証レポート

監査履歴
監査モデル: codex 過去のレポート
スキル名
budget-pacing-monitor
バージョン
v3
メンテナー
aaron-he-zhu
ソース
github.com/aaron-he-zhu/aaron-marketing-skills/tree/main/ad/scale/budget-pacing-monitor
カバレッジ
1 スキャンされたファイル · 82 解析済み行数
ポリシーバージョン
利用不可

確認済み検出結果の概要

確認済みのセキュリティ上の指摘はありません

完了した監査では、確認済みのセキュリティ上の検出事項は記録されませんでした。これは、Skill に副作用がないことの証明ではありません。

インストールのコンテキスト

履歴上の証拠

このレポートは、現在インストール可能な成果物を説明していない可能性があります。インストールに関するガイダンスについては、現在の Skill ページを開いてください。

現在のスキルページを開く

このレポートは、マニフェストまたは ZIP をブロックも承認もしません。

Most detections are false positives caused by Markdown code formatting, documentation links, homepage URLs, and ordinary campaign-monitoring language. Two findings are confirmed: the command template uses an unquoted campaign value, and the save template does not require filename sanitization.

レポートの位置

過去のレポート

このレポートを使用してインストールする前に、監査履歴を開いてください。

監査アテステーション

証明不可

必要な不変のバインディングは不完全です。

人による検証

未検証

このレポートには人による検証は記録されていません。

カバレッジ

1 スキャンされたファイル · 82 解析済み行数

レビュー対象の項目を 2 件表示

制限事項

このレポートはランタイムまたはサンドボックスでの実行を主張するものではなく、副作用がないことを証明するものでもありません。

証拠チェーン

ソースバインディングからインストール契約まで証拠をたどってください。利用可能な証拠は検証を支援しますが、安全性を保証するものではありません。

  1. ソース

    コミットとパスにバインド済み

  2. アーティファクト

    コンテンツとツリーのハッシュがバインド済み

  3. 監査

    完了

  4. インストール契約

    検証するためにマニフェストを開く

    マニフェストを開く

確認された機能

「確認」とは、このレポートで裏付けとなる証拠が記録されていることを意味します。「記録なし」は、機能が存在しないことを証明するものではありません。

スクリプトを含む

Skillに含まれるコードを実行する場合があります。

この監査では記録されていません

ネットワークアクセス

外部サービスに接続する場合があります。

2 件の証拠箇所で確認

ファイルシステムへのアクセス

ローカルファイルの読み取りまたは書き込みを行う可能性があります。

12 件の証拠箇所で確認

環境変数

プロセス環境から値を読み取る可能性があります。

この監査では記録されていません

外部コマンド

Skillの外部にあるコマンドまたはプログラムを呼び出す場合があります。

16 件の証拠箇所で確認

機能レビュー項目 (2)
高
SKILL.md:57
Ruby/shell backtick execution
3. **Snapshot spend to the ledger.** Record cumulative spend and elapsed-flight so the delta is comp
Line 57 instructs the agent to run Python and places the user-derived campaign value into the shell command unquoted. Shell metacharacters in that value could alter the command.
高
SKILL.md:66
Path traversal sequence
Ask "Save these results for future sessions?" If yes, write to `memory/ad/budget-pacing-monitor/` us
Line 66 constructs a saved filename from the campaign value without requiring sanitization. A crafted value containing separators and parent segments could escape the intended directory.

リスク指摘

確認済みのセキュリティ上の懸念事項は、引き続きレビューが必要な項目と分けて表示されます。

この完了済み監査には、確認済みのセキュリティ検出事項は記録されていません。

是正措置

この監査で推奨される修正が記録されています。これらを適用する責任はメンテナーにあります。

  1. FIX-001
    高
    The ledger command places the campaign value into a shell command without quoting or validation.
    Pass the campaign as a safely escaped argument, reject shell metacharacters, and use an argument separator supported by the script.
  2. FIX-002
    高
    The save filename includes a user-controlled campaign value without normalization.
    Convert campaign names to an allowlisted slug and verify the resolved path remains inside memory/ad/budget-pacing-monitor.

専門家による証拠

不変の対象ID、スキャナーメタデータ、除外された一致項目、およびソースレベルの証拠。

アーティファクト主体

Marketplace コミット
d71c7417a35d5c2624161bd2fe8de8a41a362128
コンテンツハッシュ
a51c62f96acc696fcc4993e6791a7a824a88ef8406f66401b8df39f316b5f8ef
ツリーハッシュ
26411955f51793049b47391c2cbc92f84ab6177f4eb9b8eac388794c1b925d65
Skill パス
skills/aaron-he-zhu/budget-pacing-monitor
監査ペイロードハッシュ
185830b066026dcee7ba25db9954f5af

分析メタデータ

監査モデル: codex

分析状態: 完了

対象範囲は、記録されたファイル、行、メソッド、および証拠に限定されます。ランタイムまたはサンドボックスでの実行は主張していません。

検証とエクスポート

JSON レポート CITATION.cff SARIF 2.1.0 署名付きインストールマニフェスト ソース

マニフェストとロックファイルは、インストール成果物を暗号学的ハッシュに結び付けます。この完全性に関する主張は、セキュリティ評価とは別のものです。

監査アテステーション: not_attestable