📦
zentao-tour
50ロール別に ZenTao ワークフローを探索
ZenTao を使い始めたユーザーは、ロール、オブジェクト、コマンドライン操作のつながりを理解するのに苦労しがちです。このスキルは、実際の ZenTao ワークフローをロール別に案内します。
生産性 表示
スキル zentao-api
📦
zentao-api
v1.0.4 コンテンツリビジョン r1 高リスク ⚙️ 外部コマンド📁 ファイルシステムへのアクセス🌐 ネットワークアクセス
APIを通じてZenTaoプロジェクトを管理
チームは、APIリクエストを手作業で構築することなく、ZenTaoの作業項目にすばやくアクセスする必要があります。このスキルは、自然言語のリクエストをZenTao REST API v2.0呼び出しにマッピングします。
対応: Claude Codex Code(CC)
インストール前に停止して確認を求めてください。
計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。
自分のエージェントでインストール
このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。
エージェントリクエスト
Review the Skillstore skill "zentao-api" from https://skillstore.io/skills/easysoft-zentao-api.md and its manifest at https://skillstore.io/api/skills/easysoft-zentao-api/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。
エージェントが読めるリソース
AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「zentao-api」を使用しています。 アクティブなプロジェクトとその実行を表示してください。
期待される結果:
ID、アクティブな実行名、ステータス、オーナー、次の確認候補を含む簡潔なプロジェクト一覧。
「zentao-api」を使用しています。 product 12の重大なバグを作成してください。
期待される結果:
対象製品、タイトル、重要度、ビルド、担当者、送信される正確なフィールドを示す確認サマリー。
「zentao-api」を使用しています。 bug 345をfixedとして解決してください。
期待される結果:
解決済みバグ、解決値、サーバーレスポンスの概要、追加で必要なフィールドを確認するステータス更新。
セキュリティ監査
高リスクv4 • 2026/7/6 バージョン別レポートを開く
The skill is a legitimate ZenTao REST API helper, and many static hits are Markdown code spans or intended API examples. Confirmed issues are the eval-based token helper and plaintext persistent token cache in ~/.zentao-token.json. These can expose long-lived credentials and enable shell execution from malicious token values.
3
スキャンされたファイル
776
解析済み行数
21
レビュー項目
0
誤検知を無視
確認済みのセキュリティ上の懸念 (2)
高
Unsafe Eval-Based Credential Export
The skill tells agents to run eval "$(bash scripts/get-token.sh)", while the helper prints ZENTAO_URL, ZENTAO_TOKEN, and ZENTAO_ACCOUNT without shell escaping. A token from cache, environment, or server response can execute shell syntax when evaluated.
The documented eval command is explicit, and the helper emits raw assignment lines without shell quoting. The token value can originate from a server response or cache file.
高
Persistent Plaintext ZenTao Token Cache
The helper states ZenTao tokens are permanent and writes token, URL, and account data to ~/.zentao-token.json without setting restrictive permissions. This can expose long-lived API credentials to local users or backups.
The cache path and write operations are explicit, and the script comments say ZenTao tokens are permanent. No chmod or credential-store protection is present in the helper.
機能レビュー項目 (21)
これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。
高
Shell command substitution
# 用法:eval "$(bash get-token.sh)" → 设置 ZENTAO_URL、ZENTAO_TOKEN、ZENTAO_ACCOUNT
The documented usage evals the helper output, while the helper prints unescaped URL, token, and account values. A malicious token or cache value can execute shell syntax when evaluated.
高
Node.js fs operations
fs.writeFileSync(cachePath, JSON.stringify({ token, url, account }, null, 2));
The helper writes ZENTAO_TOKEN, URL, and account into ~/.zentao-token.json in plaintext. The script states tokens are permanent, so local disclosure is a real credential risk.
高
Node.js fs operations
fs.writeFileSync(cachePath, JSON.stringify({ token, url, account }, null, 2));
The helper writes ZENTAO_TOKEN, URL, and account into ~/.zentao-token.json in plaintext. The script states tokens are permanent, so local disclosure is a real credential risk.
高
Synchronous file operations
fs.writeFileSync(cachePath, JSON.stringify({ token, url, account }, null, 2));
The helper writes ZENTAO_TOKEN, URL, and account into ~/.zentao-token.json in plaintext. The script states tokens are permanent, so local disclosure is a real credential risk.
高
Synchronous file operations
fs.writeFileSync(cachePath, JSON.stringify({ token, url, account }, null, 2));
The helper writes ZENTAO_TOKEN, URL, and account into ~/.zentao-token.json in plaintext. The script states tokens are permanent, so local disclosure is a real credential risk.
高
Hidden file in home directory
# 缓存文件 ~/.zentao-token.json 保存 token、url、account,下次可免密直接使用。
The script deliberately uses a hidden home-directory cache for ZenTao URL, token, and account data. Storing long-lived credentials this way is a real local exposure risk.
高
Hidden file in home directory
echo " · 缓存文件 ~/.zentao-token.json(含 url、token、account 字段)" >&2
The script deliberately uses a hidden home-directory cache for ZenTao URL, token, and account data. Storing long-lived credentials this way is a real local exposure risk.
高
Hidden file access
# 缓存文件 ~/.zentao-token.json 保存 token、url、account,下次可免密直接使用。
The script deliberately uses a hidden home-directory cache for ZenTao URL, token, and account data. Storing long-lived credentials this way is a real local exposure risk.
高
Hidden file access
CACHE_FILE="${HOME}/.zentao-token.json"
The script deliberately uses a hidden home-directory cache for ZenTao URL, token, and account data. Storing long-lived credentials this way is a real local exposure risk.
高
Hidden file access
echo " · 缓存文件 ~/.zentao-token.json(含 url、token、account 字段)" >&2
The script deliberately uses a hidden home-directory cache for ZenTao URL, token, and account data. Storing long-lived credentials this way is a real local exposure risk.
高
Ruby/shell backtick execution
```bash
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
高
Ruby/shell backtick execution
后续所有请求 Header 携带:`token: $ZENTAO_TOKEN`
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
高
Ruby/shell backtick execution
1. 运行 `eval "$(bash scripts/get-token.sh)"` 获取凭证(自动处理缓存;仍缺失时提示用户)
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
高
Shell command substitution
eval "$(bash scripts/get-token.sh)"
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
高
Shell command substitution
1. 运行 `eval "$(bash scripts/get-token.sh)"` 获取凭证(自动处理缓存;仍缺失时提示用户)
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
高
Template literal with command substitution
```bash
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
高
Template literal with command substitution
1. 运行 `eval "$(bash scripts/get-token.sh)"` 获取凭证(自动处理缓存;仍缺失时提示用户)
SKILL.md instructs users or agents to run eval "$(bash scripts/get-token.sh)". Because the helper emits unescaped values from cache, environment, or server response, this is a real shell injection risk.
高
Hidden file in home directory
**首次登录后 `ZENTAO_URL`、`ZENTAO_TOKEN`、`ZENTAO_ACCOUNT` 写入 `~/.zentao-token.json`,后续无需重复设置**。
SKILL.md documents that ZenTao URL, token, and account are written to ~/.zentao-token.json after first login. This is persistent plaintext credential storage in a hidden home file.
高
Hidden file access
**首次登录后 `ZENTAO_URL`、`ZENTAO_TOKEN`、`ZENTAO_ACCOUNT` 写入 `~/.zentao-token.json`,后续无需重复设置**。
SKILL.md documents that ZenTao URL, token, and account are written to ~/.zentao-token.json after first login. This is persistent plaintext credential storage in a hidden home file.
中
Synchronous file operations
const d = JSON.parse(require('fs').readFileSync(process.argv[1], 'utf8'));
The helper reads credentials from ~/.zentao-token.json and feeds them into the shell setup workflow. A tampered cache can supply unsafe values to the eval-based usage pattern.
中
Ruby/shell backtick execution
所有业务 API 需在 Header 携带 `token`。运行 `scripts/get-token.sh` 自动获取:
The skill instructs agents to run a bundled shell credential helper. That helper writes a token cache and emits raw shell assignments, so this crosses a real credential boundary.
リスク要因
⚙️ 外部コマンド (80)
scripts/get-token.sh:3 scripts/get-token.sh:71-73 scripts/get-token.sh:75-77 SKILL.md:19 SKILL.md:20 SKILL.md:21 SKILL.md:22 SKILL.md:24 SKILL.md:26 SKILL.md:30 SKILL.md:32-35 SKILL.md:35-37 SKILL.md:37 SKILL.md:39-43 SKILL.md:43-52 SKILL.md:52-56 SKILL.md:56-57 SKILL.md:57-58 SKILL.md:58-59 SKILL.md:59-60 SKILL.md:60-61 SKILL.md:61-62 SKILL.md:62-63 SKILL.md:63-64 SKILL.md:64-65 SKILL.md:65-66 SKILL.md:66-67 SKILL.md:67-68 SKILL.md:68-69 SKILL.md:69-70 SKILL.md:70-71 SKILL.md:71-72 SKILL.md:72-73 SKILL.md:73-74 SKILL.md:74-84 SKILL.md:84 SKILL.md:85 SKILL.md:86-87 SKILL.md:87-89 SKILL.md:89 SKILL.md:95-98 SKILL.md:98-102 SKILL.md:102-106 SKILL.md:106-110 SKILL.md:110-114 SKILL.md:114-118 SKILL.md:118-122 SKILL.md:122-126 SKILL.md:126-130 SKILL.md:130-134 SKILL.md:134-138 SKILL.md:138-142 SKILL.md:142-146 SKILL.md:146-150 SKILL.md:150-154 SKILL.md:154-158 SKILL.md:158-162 SKILL.md:162-168 SKILL.md:168 SKILL.md:169 SKILL.md:170 SKILL.md:171 SKILL.md:172 SKILL.md:173 SKILL.md:174 SKILL.md:175 SKILL.md:176 SKILL.md:177 SKILL.md:178 SKILL.md:179 SKILL.md:180 SKILL.md:181 SKILL.md:215-216 SKILL.md:216 SKILL.md:220-221 SKILL.md:221 SKILL.md:33 SKILL.md:43 SKILL.md:32-35 SKILL.md:43
📁 ファイルシステムへのアクセス (15)
scripts/get-token.sh:57 scripts/get-token.sh:98 scripts/get-token.sh:30 scripts/get-token.sh:57 scripts/get-token.sh:98 scripts/get-token.sh:5 scripts/get-token.sh:65 scripts/get-token.sh:5 scripts/get-token.sh:10 scripts/get-token.sh:65 scripts/get-token.sh:33 SKILL.md:24 SKILL.md:220 SKILL.md:24 SKILL.md:220
🌐 ネットワークアクセス (4)
監査者: codex 監査履歴を表示 →
このレポートを共有・引用
バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。
レポートリンクをコピー
https://skillstore.io/skills/easysoft-zentao-api/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdownバッジ
[](https://skillstore.io/skills/easysoft-zentao-api?utm_source=security_passport_badge)HTMLバッジ
<a href="https://skillstore.io/skills/easysoft-zentao-api?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/easysoft-zentao-api/security.svg" alt="Skillstore security assessment" loading="lazy"></a>埋め込みカード
<iframe src="https://skillstore.io/embed/skills/easysoft-zentao-api.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学術引用 (APA · BibTeX · CFF)
APA形式の引用
easysoft. (2026). zentao-api security audit report (audit version 4) [Author version 1.0.4]. Skillstore. https://skillstore.io/skills/easysoft-zentao-api/audits/4BibTeX形式の引用
@techreport{easysoft-easysoft-zentao-api-2026,
author = {easysoft},
title = {zentao-api security audit report (audit version 4)},
institution = {Skillstore},
year = {2026},
number = {4},
url = {https://skillstore.io/skills/easysoft-zentao-api/audits/4},
note = {Author version 1.0.4}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "zentao-api security audit report (audit version 4)"
version: "1.0.4"
type: report
authors:
- name: "easysoft"
date-released: "2026-07-06"
url: "https://skillstore.io/skills/easysoft-zentao-api/audits/4"
identifiers:
- type: other
value: "skillstore:easysoft-zentao-api:audit:4"
description: "Skillstore immutable audit report identifier"
Skillstore スコア
このスコアの理由 証拠の信頼度: 中 45
アーキテクチャ
100
保守性
85
コンテンツ
68
コミュニティ
100
仕様準拠
作成できるもの
納品状況を確認
API URLを手作業で組み立てることなく、アクティブなプロジェクト、実行、ブロック中の作業を確認します。
バグとテスト作業をトリアージ
一貫したZenTaoフィールドを使用して、バグやテストレコードを作成、フィルター、解決、またはクローズします。
スプリントタスクを維持
必須のワークフローフィールドを保持しながら、タスク、要件、ビルド、リリースを更新します。
これらのプロンプトを試す
アクティブなプロジェクトを一覧表示
アクティブなZenTaoプロジェクトを表示し、そのアクティブな実行を一覧表示してください。名前、ID、オーナー、現在のステータスを含めてください。
製品のバグを検索
product 12の未解決バグを検索してください。新しい順に並べ、重要度、担当者、タイトルを要約してください。
確認済みバグを作成
product 12用に、タイトル、重要度、ビルド、割り当て先オーナーを含む新しいバグを準備してください。作成前に確認を求めてください。
リリース更新を調整
project 8のバグ、タスク、ビルドを確認してください。リリースアクションを提案し、その後、実行前に各ZenTao書き込み操作を確認してください。
ベストプラクティス
- 使用前に環境変数にZENTAO_URLとZENTAO_TOKENを設定してください。
- すべての作成、更新、削除、ステータス変更操作を確認してください。
- 書き込みリクエストを送信する前に、APIリファレンスで必須フィールドを確認してください。
回避
- 永続トークンをチャット履歴に貼り付けないでください。
- 対象IDを確認せずに破壊的な変更を実行しないでください。
- Story、Epic、Requirementレコードを作成するときにデフォルトのgrade値に依存しないでください。
よくある質問
このスキルは何に接続しますか？
指定したサーバー上のZenTao REST API v2.0に接続します。
認証情報は必要ですか？
はい。ZenTao URLと、トークンまたはアカウント認証情報のいずれかが必要です。
ZenTaoレコードを変更できますか？
はい。これらの操作を承認すると、レコードの作成、更新、削除、遷移を実行できます。
どのモジュールが対象ですか？
プロジェクト、製品、実行、要件、バグ、タスク、テスト、リリース、ユーザー、ファイル、フィードバック、チケットを対象としています。
Claude、Codex、Claude Codeをサポートしていますか？
はい。レポートではClaude、Codex、Claude Codeのサポートが宣言されています。
認証はどのように機能しますか？
環境変数またはヘルパースクリプトを使用して、ZenTao URL、トークン、アカウントを取得します。
開発者情報
作成者
easysoftライセンス
MIT
作者バージョン
v1.0.4
Skillstore リビジョン
r1
参照
72d5025b022c77f7a51bdf5c1637c689c80e89d1
メンテナンスの新しさ
2026/7/18
利用状況
3 ダウンロード · 89 閲覧
ファイル構成
easysoft のその他のスキル
すべて表示関連スキル
すべて表示📦
ship-cli
78Ship CLI のタスクとスタック変更を管理
作成者 EduSantosBrito
AIエージェントがローカルのTODOリストや場当たり的なGitコマンドを使用すると、チームは文脈を失います。このスキルは、エージェントをShip CLIのタスク、スタック変更、PR作成、および確認付きのWebhookフォローアップへ導きます。
DevOps＆インフラ 表示
📦
python-async-patterns
85信頼性の高い非同期 Python を構築
作成者 0xDarkMatter
非同期 Python コードは、ブロッキング呼び出し、制限のないタスク、不十分なクリーンアップによって失敗することがよくあります。このスキルは、堅牢な並行サービスのための再利用可能な asyncio パターン、例、リファレンスを提供します。
コーディング＆開発 表示
📦
linear-projects-write
81CLI から Linear プロジェクトを管理
作成者 Bind
チームには、ツールを切り替えることなく Linear プロジェクトをすばやく一貫してセットアップする方法が必要です。このスキルは、Bun CLI を使って Linear プロジェクトを作成および更新する手順を Claude、Codex、Claude Code に案内します。
生産性 表示
📦
gws-shared
81Google Workspace CLI パターンを管理する
作成者 googleworkspace
Google Workspace CLI ユーザーには、一貫した認証、フラグ、シェルクォートのガイダンスが必要です。このスキルは、サポート対象のエージェント全体で安全に gws コマンドを計画するための共通リファレンスを提供します。
オフィス＆レポート 表示
📦
fusion-issue-authoring
81Draft and Publish Clear GitHub Issues
作成者 equinor
Unclear issue requests create rework, duplicates, and weak acceptance criteria. This skill produces reviewed GitHub issues with consistent structure and controlled publishing.
生産性 表示
📦
verification-protocol
80証拠に基づいてエージェントの完了を検証
作成者 CleanExpo
AIエージェントは証拠なしに作業を完了とマークできるため、誤った完了リスクが生じます。このスキルは、タスク完了が受け入れられる前に独立した証拠を要求します。
生産性 表示