このレポートには指定された言語の翻訳がありません。代わりに正規の英語レポートを表示しています。

バージョン付きセキュリティ評価

レポートID: SA-D71C7417

7/12/2026, 12:30:16 PM

inbox-placement-monitor セキュリティ評価 v6

スキルセキュリティ認証レポート

監査履歴

監査モデル: codex 過去のレポート

スキル名: inbox-placement-monitor
バージョン: v6
メンテナー: aaron-he-zhu
ソース: github.com/aaron-he-zhu/aaron-marketing-skills/tree/main/email/deliver/inbox-placement-monitor
カバレッジ: 2 スキャンされたファイル · 130 解析済み行数
ポリシーバージョン: 利用不可

確認済みの検出結果における最高重大度

中

2 件の確認済みセキュリティ検出結果に対応が必要です。

インストールのコンテキスト

履歴上の証拠

このレポートは、現在インストール可能な成果物を説明していない可能性があります。インストールに関するガイダンスについては、現在の Skill ページを開いてください。

現在のスキルページを開く

このレポートは、マニフェストまたは ZIP をブロックも承認もしません。

Most static alerts are false positives caused by Markdown backticks, fixed documentation links, and homepage metadata. The skill does include an intentional live Resend command, and its save template lacks explicit filename sanitization guidance.

レポートの位置

過去のレポート

このレポートを使用してインストールする前に、監査履歴を開いてください。

監査アテステーション

証明不可

必要な不変のバインディングは不完全です。

人による検証

未検証

このレポートには人による検証は記録されていません。

カバレッジ

2 スキャンされたファイル · 130 解析済み行数

レビュー対象の項目を 3 件表示

制限事項

このレポートはランタイムまたはサンドボックスでの実行を主張するものではなく、副作用がないことを証明するものでもありません。

証拠チェーン

ソースバインディングからインストール契約まで証拠をたどってください。利用可能な証拠は検証を支援しますが、安全性を保証するものではありません。

ソース

コミットとパスにバインド済み
アーティファクト

コンテンツとツリーのハッシュがバインド済み
監査

完了
インストール契約

検証するためにマニフェストを開く
マニフェストを開く

確認された機能

「確認」とは、このレポートで裏付けとなる証拠が記録されていることを意味します。「記録なし」は、機能が存在しないことを証明するものではありません。

スクリプトを含む

Skillに含まれるコードを実行する場合があります。

この監査では記録されていません

ネットワークアクセス

外部サービスに接続する場合があります。

2 件の証拠箇所で確認

ファイルシステムへのアクセス

ローカルファイルの読み取りまたは書き込みを行う可能性があります。

22 件の証拠箇所で確認

環境変数

プロセス環境から値を読み取る可能性があります。

この監査では記録されていません

外部コマンド

Skillの外部にあるコマンドまたはプログラムを呼び出す場合があります。

27 件の証拠箇所で確認

機能レビュー項目 (1)

中

SKILL.md:52

Ruby/shell backtick execution

**Zero-dependency seed-send automation (when Resend is the ESP)**: `python3 "${CLAUDE_PLUGIN_ROOT}/s

Line 52 instructs the agent to run a Python connector and permits --live, which sends messages through Resend. This is intentional functionality but creates command and external network side effects.

リスク指摘

確認済みのセキュリティ上の懸念事項は、引き続きレビューが必要な項目と分けて表示されます。

確認済みのセキュリティ上の懸念 (2)

RISK-001 中

SKILL.md:52

Live Outbound Email Action

The documented --live workflow sends one message per seed inbox through Resend. This external side effect can disclose campaign content and recipient addresses to the configured email service.

Line 52 explicitly states that --live fires the seed test through a batch endpoint, while dry-run is the default.

RISK-002 中

SKILL.md:70

User-Derived Save Filename Lacks Sanitization Guidance

The save template places a domain or topic in a filename without requiring normalization. Unsafe separator or parent-directory input could redirect a write outside the intended memory folder.

Line 70 directly uses <domain-or-topic> in the destination filename, but the underlying host may independently sanitize generated paths.

是正措置

この監査で推奨される修正が記録されています。これらを適用する責任はメンテナーにあります。

FIX-001
中
The seed-send workflow can execute a connector with live external effects.

Keep dry-run as the default and require immediate user confirmation before --live. Validate the sender, recipients, subject, and campaign file before execution.
FIX-002
中
The save filename includes a user-derived domain or topic.

Normalize the value to a basename with an allowlist of letters, numbers, dots, and hyphens. Reject separators and parent-directory sequences.

専門家による証拠

不変の対象ID、スキャナーメタデータ、除外された一致項目、およびソースレベルの証拠。

アーティファクト主体

Marketplace コミット: d71c7417a35d5c2624161bd2fe8de8a41a362128
コンテンツハッシュ: 27eeef1694b7c46a986388b317781002b4eebb517013a16eefbe3a26eb0c5509
ツリーハッシュ: 9cb9eced2a769d7a5087e3a6bd90eebf42d6bd1f8a9721e86f3e97d95969f23e
Skill パス: skills/aaron-he-zhu/inbox-placement-monitor
監査ペイロードハッシュ: b059b3a21ed05a8fe6bfb688f77bed36

分析メタデータ

監査モデル: codex

分析状態: 完了

対象範囲は、記録されたファイル、行、メソッド、および証拠に限定されます。ランタイムまたはサンドボックスでの実行は主張していません。

検証とエクスポート

JSON レポート CITATION.cff SARIF 2.1.0 署名付きインストールマニフェストソース

マニフェストとロックファイルは、インストール成果物を暗号学的ハッシュに結び付けます。この完全性に関する主張は、セキュリティ評価とは別のものです。

監査アテステーション: not_attestable