このレポートには指定された言語の翻訳がありません。代わりに正規の英語レポートを表示しています。

バージョン付きセキュリティ評価

レポートID: SA-7E9E368D

7/5/2026, 10:02:25 AM

current-location-weather セキュリティ評価 v9

スキルセキュリティ認証レポート

監査履歴
監査モデル: codex 最新の公開済みレポート
スキル名
current-location-weather
バージョン
v9
メンテナー
DanielMax937
カバレッジ
2 スキャンされたファイル · 234 解析済み行数
ポリシーバージョン
利用不可

確認済みの検出結果における最高重大度

中

1 件の確認済みセキュリティ検出結果に対応が必要です。

インストールのコンテキスト

現在のスキルページを確認

このページはレポートの証拠のみを要約しています。正規のインストール勧告は Skill ページで提供されます。

現在のスキルページを開く

このレポートは、マニフェストまたは ZIP をブロックも承認もしません。

No prompt injection, obfuscation, or command-execution abuse was found; the code-fence and obfuscation alerts are false positives. The skill intentionally makes outbound requests to ip-api.com and wttr.in, including automatic IP geolocation over plaintext HTTP, so the remaining concerns are privacy and network-integrity risks.

レポートの位置

最新の公開済みレポート

「最新」はレポートの順序を指し、アーティファクトの最新性を指すものではありません。

監査アテステーション

証明不可

必要な不変のバインディングは不完全です。

人による検証

未検証

このレポートには人による検証は記録されていません。

カバレッジ

2 スキャンされたファイル · 234 解析済み行数

レビュー対象の項目を 7 件表示

制限事項

このレポートはランタイムまたはサンドボックスでの実行を主張するものではなく、副作用がないことを証明するものでもありません。

証拠チェーン

ソースバインディングからインストール契約まで証拠をたどってください。利用可能な証拠は検証を支援しますが、安全性を保証するものではありません。

  1. ソース

    コミットとパスにバインド済み

  2. アーティファクト

    コンテンツとツリーのハッシュがバインド済み

  3. 監査

    完了

  4. インストール契約

    検証するためにマニフェストを開く

    マニフェストを開く

確認された機能

「確認」とは、このレポートで裏付けとなる証拠が記録されていることを意味します。「記録なし」は、機能が存在しないことを証明するものではありません。

スクリプトを含む

Skillに含まれるコードを実行する場合があります。

この監査では記録されていません

ネットワークアクセス

外部サービスに接続する場合があります。

6 件の証拠箇所で確認

ファイルシステムへのアクセス

ローカルファイルの読み取りまたは書き込みを行う可能性があります。

この監査では記録されていません

環境変数

プロセス環境から値を読み取る可能性があります。

この監査では記録されていません

外部コマンド

Skillの外部にあるコマンドまたはプログラムを呼び出す場合があります。

12 件の証拠箇所で確認

機能レビュー項目 (6)
中
Hardcoded URL
with urllib.request.urlopen("http://ip-api.com/json/", timeout=10) as response:
The hardcoded ip-api.com endpoint uses plaintext HTTP for geolocation. That can expose the request path to network observers and allows response tampering in transit.
低
Python HTTP libraries
with urllib.request.urlopen("http://ip-api.com/json/", timeout=10) as response:
The code performs an outbound request to ip-api.com to infer location from the caller IP. This exposes IP-derived location data to a third-party service.
低
Python HTTP libraries
req = urllib.request.Request(url, headers={"User-Agent": "curl/7.68.0"})
The Request object prepares an outbound call to wttr.in using the requested or detected location. This is intended behavior, but it still shares location context with an external service.
低
Python HTTP libraries
with urllib.request.urlopen(req, timeout=15) as response:
The urlopen call sends the weather request to wttr.in. The endpoint is part of the skill function, but it is real external network access.
低
Hardcoded URL
url = f"https://wttr.in/{encoded_location}?format=j1"
The hardcoded wttr.in JSON endpoint is an intended weather provider. It is still an external dependency that receives the requested location.
低
Hardcoded URL
url = f"https://wttr.in/{encoded_location}?format=%l:+%c+%t+%h+%w"
The hardcoded wttr.in text endpoint is an intended weather provider. It creates a real third-party network request with location context.

リスク指摘

確認済みのセキュリティ上の懸念事項は、引き続きレビューが必要な項目と分けて表示されます。

確認済みのセキュリティ上の懸念 (1)

RISK-001 中
Automatic IP Geolocation Privacy Exposure
When no location is provided, the script contacts ip-api.com to infer location from the caller IP before weather lookup. This behavior is disclosed, but it lacks an explicit consent step before sharing approximate location with a third-party service.
The code path calls ip-api.com automatically when location is absent, and the documentation states that IP-based location detection is used. The risk is privacy exposure rather than hidden malware.

是正措置

この監査で推奨される修正が記録されています。これらを適用する責任はメンテナーにあります。

  1. FIX-001
    中
    Automatic IP geolocation sends location context to a third-party service.
    Ask for explicit user confirmation before IP-based lookup, prefer user-supplied locations, and document that ip-api.com receives IP-derived location data.
  2. FIX-002
    中
    The geolocation request uses plaintext HTTP.
    Use an HTTPS geolocation provider or remove automatic geolocation if the chosen provider cannot support encrypted requests.
  3. FIX-003
    低
    Weather lookups depend on a hardcoded third-party service.
    Document wttr.in as the weather provider and explain that requested locations are sent to that service.

専門家による証拠

不変の対象ID、スキャナーメタデータ、除外された一致項目、およびソースレベルの証拠。

アーティファクト主体

Marketplace コミット
7e9e368dc1a370f2040369ebcd0db06d90cb48e5
コンテンツハッシュ
432974d1b4553bce4f1a8f04f4a9e7d83282ac4068adbc77abca6049be503b35
ツリーハッシュ
f5dbaa2f1e27c306c1cb02c40b7545f14c4aa64e6a17b92fc6663bb3e3bebadb
Skill パス
skills/danielmax937/current-location-weather
監査ペイロードハッシュ
a432f8fedaaea965e60f549fa73e9688

分析メタデータ

監査モデル: codex

分析状態: 完了

対象範囲は、記録されたファイル、行、メソッド、および証拠に限定されます。ランタイムまたはサンドボックスでの実行は主張していません。

検証とエクスポート

マニフェストとロックファイルは、インストール成果物を暗号学的ハッシュに結び付けます。この完全性に関する主張は、セキュリティ評価とは別のものです。

監査アテステーション: not_attestable