このレポートには指定された言語の翻訳がありません。代わりに正規の英語レポートを表示しています。

バージョン付きセキュリティ評価

レポートID: SA-3E4B6C31

7/9/2026, 8:47:08 AM

sharepoint-audit セキュリティ評価 v12

スキルセキュリティ認証レポート

監査履歴

監査モデル: codex 過去のレポート

スキル名: sharepoint-audit
バージョン: v12
メンテナー: Aqualia
ソース: github.com/Aqualia/Skills-Library/tree/main/sharepoint-audit-agent/wrappers/claude-skill
カバレッジ: 1 スキャンされたファイル · 26 解析済み行数
ポリシーバージョン: 利用不可

確認済み検出結果の概要

確認済みのセキュリティ上の指摘はありません

完了した監査では、確認済みのセキュリティ上の検出事項は記録されませんでした。これは、Skill に副作用がないことの証明ではありません。

インストールのコンテキスト

履歴上の証拠

このレポートは、現在インストール可能な成果物を説明していない可能性があります。インストールに関するガイダンスについては、現在の Skill ページを開いてください。

現在のスキルページを開く

このレポートは、マニフェストまたは ZIP をブロックも承認もしません。

The skill is legitimate administrative automation, but it instructs agents to execute local PowerShell and Python commands with certificate-authenticated SharePoint access. Direct command execution findings are confirmed, while several Markdown inline-code detections are false positives. No prompt injection attempt or malicious data-exfiltration intent was found.

レポートの位置

過去のレポート

このレポートを使用してインストールする前に、監査履歴を開いてください。

監査アテステーション

証明不可

必要な不変のバインディングは不完全です。

人による検証

未検証

このレポートには人による検証は記録されていません。

カバレッジ

1 スキャンされたファイル · 26 解析済み行数

レビュー対象の項目を 6 件表示

制限事項

このレポートはランタイムまたはサンドボックスでの実行を主張するものではなく、副作用がないことを証明するものでもありません。

証拠チェーン

ソースバインディングからインストール契約まで証拠をたどってください。利用可能な証拠は検証を支援しますが、安全性を保証するものではありません。

ソース

バインディングは利用できません
アーティファクト

IDが不完全
監査

完了
インストール契約

検証するためにマニフェストを開く
マニフェストを開く

確認された機能

「確認」とは、このレポートで裏付けとなる証拠が記録されていることを意味します。「記録なし」は、機能が存在しないことを証明するものではありません。

スクリプトを含む

Skillに含まれるコードを実行する場合があります。

この監査では記録されていません

ネットワークアクセス

外部サービスに接続する場合があります。

この監査では記録されていません

ファイルシステムへのアクセス

ローカルファイルの読み取りまたは書き込みを行う可能性があります。

この監査では記録されていません

環境変数

プロセス環境から値を読み取る可能性があります。

この監査では記録されていません

外部コマンド

Skillの外部にあるコマンドまたはプログラムを呼び出す場合があります。

8 件の証拠箇所で確認

機能レビュー項目 (6)

高

SKILL.md:18

Ruby/shell backtick execution

- `pwsh ./sharepoint-audit-agent/agent/powershell/Install-Modules.ps1`

Line 18 instructs the agent to run a local pwsh command that installs modules. This is real external command execution and may change the user's environment.

高

SKILL.md:4

PowerShell invocation

Guide and run a SharePoint audit locally. Collect inputs, confirm PowerShell 7.4+

Line 4 describes a workflow that guides and runs a SharePoint audit locally using PowerShell. This confirms the skill's intended behavior includes external command execution.

高

SKILL.md:5

PowerShell invocation

and Python 3.10+ are available, call PowerShell with certificate auth via wrapper,

Line 5 states that the skill calls PowerShell with certificate authentication through a wrapper. That combines external execution with privileged SharePoint access.

高

SKILL.md:13

PowerShell invocation

- The operator can run PowerShell 7.4+, Python 3.10+, and PnP.PowerShell locally.

Line 13 lists PowerShell 7.4+, Python 3.10+, and PnP.PowerShell as local operator requirements. This supports that the skill depends on external command-line tooling.

高

SKILL.md:18

PowerShell invocation

- `pwsh ./sharepoint-audit-agent/agent/powershell/Install-Modules.ps1`

Line 18 directly instructs execution of pwsh against Install-Modules.ps1. This is explicit PowerShell invocation and should require review before use.

中

SKILL.md:19

Ruby/shell backtick execution

- `python ./sharepoint-audit-agent/agent/python/audit_agent.py ... --output ./runs`

Line 19 instructs the agent to run a local Python audit agent with user-provided options. This is real external command execution with possible argument and filesystem impact.

リスク指摘

確認済みのセキュリティ上の懸念事項は、引き続きレビューが必要な項目と分けて表示されます。

この完了済み監査には、確認済みのセキュリティ検出事項は記録されていません。

是正措置

この監査で推奨される修正が記録されています。これらを適用する責任はメンテナーにあります。

FIX-001
高
PowerShell and Python commands are run from skill instructions.

Require explicit user confirmation before each command, display the exact command, and validate all paths and arguments before execution.
FIX-002
高
Module installation can fetch dependencies during setup.

Pin required module versions, document trusted package sources, and ask users to approve installation before running Install-Modules.ps1.
FIX-003
中
The workflow handles PFX credentials and sensitive SharePoint audit reports.

Keep secrets in environment variables, redact sensitive values from logs, and store generated reports in access-controlled local directories.

専門家による証拠

不変の対象ID、スキャナーメタデータ、除外された一致項目、およびソースレベルの証拠。

アーティファクト主体

Marketplace コミット: 利用不可
コンテンツハッシュ: 利用不可
ツリーハッシュ: 利用不可
Skill パス: 利用不可
監査ペイロードハッシュ: 利用不可

分析メタデータ

監査モデル: codex

分析状態: 完了

対象範囲は、記録されたファイル、行、メソッド、および証拠に限定されます。ランタイムまたはサンドボックスでの実行は主張していません。

検証とエクスポート

JSON レポート CITATION.cff SARIF 2.1.0 署名付きインストールマニフェスト

マニフェストとロックファイルは、インストール成果物を暗号学的ハッシュに結び付けます。この完全性に関する主張は、セキュリティ評価とは別のものです。

監査アテステーション: not_attestable