このレポートには指定された言語の翻訳がありません。代わりに正規の英語レポートを表示しています。

バージョン付きセキュリティ評価

レポートID: SA-C993C6AB

11/6/2026, 3:33:19 PM

pptx-nova セキュリティ評価 v1

スキルセキュリティ認証レポート

監査履歴
スキャナーバージョン 3.0.0 監査モデル: codex 最新の公開済みレポート
スキル名
pptx-nova
バージョン
v1
メンテナー
hustcer
ソース
github.com/hustcer/pptx-nova/tree/9387fc26897dbe27564fb0864fc6f81e2b47aa9a/pptx-nova
カバレッジ
713 スキャンされたファイル · 182,283 解析済み行数
ポリシーバージョン
skillstore-security-audit-policy-v1

Current license

不明

確認済み検出結果の概要

確認済みのセキュリティ上の指摘はありません

完了した監査では、確認済みのセキュリティ上の検出事項は記録されませんでした。これは、Skill に副作用がないことの証明ではありません。

インストールのコンテキスト

現在のスキルページを確認

このページはレポートの証拠のみを要約しています。正規のインストール勧告は Skill ページで提供されます。

現在のスキルページを開く

このレポートは、マニフェストまたは ZIP をブロックも承認もしません。

Reviewed all 1,000 supplied findings; most are syntax, multilingual text, local workflow operations, or explicit safety prohibitions. Confirmed risks concern executable JavaScript content loading and predictable shared temporary log redirection; no evidence found of malicious exfiltration or audit-directed prompt injection. The static cap leaves 4,842 additional matches unadjudicated, so this review does not establish publication readiness. Static review was capped at 1000/5842 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

レポートの位置

最新の公開済みレポート

「最新」はレポートの順序を指し、アーティファクトの最新性を指すものではありません。

監査アテステーション

有効な証明

この完全に一致するレポートには公開証明があります。

人による検証

未検証

このレポートには人による検証は記録されていません。

カバレッジ

713 スキャンされたファイル · 182,283 解析済み行数

レビュー対象の項目を 3 件表示

制限事項

このレポートはランタイムまたはサンドボックスでの実行を主張するものではなく、副作用がないことを証明するものでもありません。

証拠チェーン

ソースバインディングからインストール契約まで証拠をたどってください。利用可能な証拠は検証を支援しますが、安全性を保証するものではありません。

  1. ソース

    コミットとパスにバインド済み

  2. アーティファクト

    コンテンツとツリーのハッシュがバインド済み

  3. 監査

    完了

  4. インストール契約

    検証するためにマニフェストを開く

    マニフェストを開く

確認された機能

「確認」とは、このレポートで裏付けとなる証拠が記録されていることを意味します。「記録なし」は、機能が存在しないことを証明するものではありません。

スクリプトを含む

Skillに含まれるコードを実行する場合があります。

7 件の証拠箇所で確認

ネットワークアクセス

外部サービスに接続する場合があります。

50 件の証拠箇所で確認

ファイルシステムへのアクセス

ローカルファイルの読み取りまたは書き込みを行う可能性があります。

51 件の証拠箇所で確認

環境変数

プロセス環境から値を読み取る可能性があります。

28 件の証拠箇所で確認

外部コマンド

Skillの外部にあるコマンドまたはプログラムを呼び出す場合があります。

51 件の証拠箇所で確認

機能レビュー項目 (3)
中
assets/deckkits/shared/core-primitives.kit.mjs:321
Dynamic import() expression
const mod = await import(join(process.cwd(), path))
loadContent imports supplied .js or .mjs content paths before validation, executing their top-level code with user privileges. Untrusted content can therefore execute arbitrary code.
中
references/runtime/daemon-sessions.md:51
nohup (background persistent process)
nohup xdoc daemon start >/tmp/xdoc-daemon.log 2>&1 &
The example redirects daemon output to predictable /tmp/xdoc-daemon.log without exclusive creation. A precreated symlink can redirect writes where platform protections permit.
中
references/runtime/daemon-sessions.md:51
Temp directory access
nohup xdoc daemon start >/tmp/xdoc-daemon.log 2>&1 &
The example redirects daemon output to predictable /tmp/xdoc-daemon.log without exclusive creation. A precreated symlink can redirect writes where platform protections permit.

リスク指摘

確認済みのセキュリティ上の懸念事項は、引き続きレビューが必要な項目と分けて表示されます。

この完了済み監査には、確認済みのセキュリティ検出事項は記録されていません。

是正措置

この監査で推奨される修正が記録されています。これらを適用する責任はメンテナーにあります。

  1. FIX-001
    高
    The supplied static review is capped at 1,000 of 5,842 matches.
    Complete manual adjudication of the remaining 4,842 matches before automatic publication; retain this review coverage limitation.
  2. FIX-002
    中
    Static review capped
    Manually review the omitted 4842 static analyzer matches or reduce bundled generated/vendor/reference content before enabling automatic publication.
  3. FIX-003
    中
    JavaScript content files execute during loadContent.
    Accept data-only JSON by default; require explicit trusted-code opt-in or isolated execution before importing JavaScript content modules.
  4. FIX-004
    中
    The daemon example writes to a predictable shared temporary log.
    Allocate logs inside a private mktemp directory with restrictive permissions and exclusive creation instead of redirecting to /tmp/xdoc-daemon.log.

専門家による証拠

不変の対象ID、スキャナーメタデータ、除外された一致項目、およびソースレベルの証拠。

アーティファクト主体

Marketplace コミット
c993c6abcbffafea2683d7748b53b3dfaf438415
コンテンツハッシュ
22f344139d0a7ba92111a941d4a684ed5e0f8b3ccbf809713be7a3b0075995cc
ツリーハッシュ
3eeef03d2706173fa70f4f3b4f605320b0a48b9a2fd33696de23af03df928ca9
Skill パス
skills/hustcer/pptx-nova
監査ペイロードハッシュ
0026cae8492558ad0a0c6998154b9fa2

分析メタデータ

監査モデル: codex

分析状態: 完了

対象範囲は、記録されたファイル、行、メソッド、および証拠に限定されます。ランタイムまたはサンドボックスでの実行は主張していません。

検証とエクスポート

JSON レポート 署名付き監査証明 CITATION.cff SARIF 2.1.0 署名付きインストールマニフェスト ソース

マニフェストとロックファイルは、インストール成果物を暗号学的ハッシュに結び付けます。この完全性に関する主張は、セキュリティ評価とは別のものです。

監査アテステーション: active