このレポートには指定された言語の翻訳がありません。代わりに正規の英語レポートを表示しています。

バージョン付きセキュリティ評価

レポートID: SA-9938F91A

11/8/2026, 11:05:27 PM

x402socks セキュリティ評価 v5

スキルセキュリティ認証レポート

監査履歴
スキャナーバージョン 3.0.0 監査モデル: codex 最新の公開済みレポート
スキル名
x402socks
バージョン
v1.2.4
メンテナー
x402socks
ソース
github.com/x402socks/skill/tree/e5f9bc9d6386307fc7373825225f6fc48c7e045f/skills/x402socks
カバレッジ
7 スキャンされたファイル · 1,367 解析済み行数
ポリシーバージョン
skillstore-security-audit-policy-v1

Current license

MIT

確認済みの検出結果における最高重大度

中

1 件の確認済みセキュリティ検出結果に対応が必要です。

インストールのコンテキスト

現在のスキルページを確認

このページはレポートの証拠のみを要約しています。正規のインストール勧告は Skill ページで提供されます。

現在のスキルページを開く

このレポートは、マニフェストまたは ZIP をブロックも承認もしません。

Most flags describe intended proxy operations, Markdown, or protected credential handling; no evidence found of credential harvesting or prompt injection. The opt-in legacy transport branch exposes reusable tokens without encryption. Rotation also invalidates the old token before local storage checks, risking loss of paid access.

レポートの位置

最新の公開済みレポート

「最新」はレポートの順序を指し、アーティファクトの最新性を指すものではありません。

監査アテステーション

有効な証明

この完全に一致するレポートには公開証明があります。

人による検証

未検証

このレポートには人による検証は記録されていません。

カバレッジ

7 スキャンされたファイル · 1,367 解析済み行数

レビュー対象の項目を 5 件表示

制限事項

このレポートはランタイムまたはサンドボックスでの実行を主張するものではなく、副作用がないことを証明するものでもありません。

証拠チェーン

ソースバインディングからインストール契約まで証拠をたどってください。利用可能な証拠は検証を支援しますが、安全性を保証するものではありません。

  1. ソース

    コミットとパスにバインド済み

  2. アーティファクト

    コンテンツとツリーのハッシュがバインド済み

  3. 監査

    完了

  4. インストール契約

    検証するためにマニフェストを開く

    マニフェストを開く

確認された機能

「確認」とは、このレポートで裏付けとなる証拠が記録されていることを意味します。「記録なし」は、機能が存在しないことを証明するものではありません。

スクリプトを含む

Skillに含まれるコードを実行する場合があります。

この監査では記録されていません

ネットワークアクセス

外部サービスに接続する場合があります。

46 件の証拠箇所で確認

ファイルシステムへのアクセス

ローカルファイルの読み取りまたは書き込みを行う可能性があります。

30 件の証拠箇所で確認

環境変数

プロセス環境から値を読み取る可能性があります。

7 件の証拠箇所で確認

外部コマンド

Skillの外部にあるコマンドまたはプログラムを呼び出す場合があります。

50 件の証拠箇所で確認

機能レビュー項目 (4)
高
scripts/x402socks.sh:414
Hardcoded URL
proxy="http://$exit_id.x402socks.com:3128"
This branch selects an HTTP proxy that receives the reusable authentication token without encryption. Explicit opt-in limits activation but cannot prevent network interception.
高
scripts/x402socks.sh:390
SOCKS proxy
--socks5) mode="socks5" ;;
The opt-in legacy branch sends the reusable proxy token without transport encryption. A network observer can capture it and consume paid access.
高
scripts/x402socks.sh:410
SOCKS proxy
plaintext|socks5)
The opt-in legacy branch sends the reusable proxy token without transport encryption. A network observer can capture it and consume paid access.
高
scripts/x402socks.sh:416
SOCKS proxy
proxy="socks5h://$exit_id.x402socks.com:1080"
The opt-in legacy branch sends the reusable proxy token without transport encryption. A network observer can capture it and consume paid access.

リスク指摘

確認済みのセキュリティ上の懸念事項は、引き続きレビューが必要な項目と分けて表示されます。

確認済みのセキュリティ上の懸念 (1)

RISK-001 中
scripts/x402socks.sh:346-352scripts/x402socks.sh:96-127scripts/x402socks.sh:129-150
Rotation Invalidates Access Before Local Storage Is Validated
Rotation invalidates the old token before the writer checks directory ownership, permissions, symlinks, or writability. A storage failure discards the one-time replacement and interrupts paid access until wallet-based recovery.
The remote rotation request precedes all writer checks, and the documented API immediately invalidates the old token. Writer errors exit without preserving the replacement.

是正措置

この監査で推奨される修正が記録されています。これらを適用する責任はメンテナーにあります。

  1. FIX-001
    高
    Opt-in SOCKS5 and plaintext CONNECT expose reusable proxy tokens to network observers.
    Remove public plaintext authentication modes or require an encrypted tunnel to the exit. Keep certificate-verified TLS CONNECT as the supported default.
  2. FIX-002
    中
    Token rotation commits remotely before the replacement destination is validated.
    Validate the token directory and reserve a private writable staging file before rotating. Preserve replacement credentials privately if final persistence fails.

専門家による証拠

不変の対象ID、スキャナーメタデータ、除外された一致項目、およびソースレベルの証拠。

アーティファクト主体

Marketplace コミット
9938f91a9ab0f5763a54332b129295339bf829dd
コンテンツハッシュ
ced61fec573263b6f1d5775c4ab05005ca68f1e4b5b1b29a885d5d38b47f997f
ツリーハッシュ
df16939866aea38d963a9cab8979f6e442536fde8f9390072a50fd1412d2ad9e
Skill パス
skills/x402socks/x402socks
監査ペイロードハッシュ
cb2ac9a881770d71134173d43f1ef08d

分析メタデータ

監査モデル: codex

分析状態: 完了

対象範囲は、記録されたファイル、行、メソッド、および証拠に限定されます。ランタイムまたはサンドボックスでの実行は主張していません。

検証とエクスポート

JSON レポート 署名付き監査証明 CITATION.cff SARIF 2.1.0 署名付きインストールマニフェスト ソース

マニフェストとロックファイルは、インストール成果物を暗号学的ハッシュに結び付けます。この完全性に関する主張は、セキュリティ評価とは別のものです。

監査アテステーション: active