このレポートには指定された言語の翻訳がありません。代わりに正規の英語レポートを表示しています。

バージョン付きセキュリティ評価

レポートID: SA-C82560F0

10/27/2026, 2:25:14 AM

feeling-search セキュリティ評価 v2

スキルセキュリティ認証レポート

監査履歴
スキャナーバージョン 3.0.0 監査モデル: codex 過去のレポート
スキル名
feeling-search
バージョン
v1.0.2
メンテナー
xixi048
ソース
github.com/xixi048/feeling-search-skill/tree/e1f69931a1416ba91897ac66488d137d208729db/skills/feeling-search
カバレッジ
3 スキャンされたファイル · 869 解析済み行数
ポリシーバージョン
skillstore-security-audit-policy-v1

確認済み検出結果の概要

確認済みのセキュリティ上の指摘はありません

完了した監査では、確認済みのセキュリティ上の検出事項は記録されませんでした。これは、Skill に副作用がないことの証明ではありません。

インストールのコンテキスト

履歴上の証拠

このレポートは、現在インストール可能な成果物を説明していない可能性があります。インストールに関するガイダンスについては、現在の Skill ページを開いてください。

現在のスキルページを開く

このレポートは、マニフェストまたは ZIP をブロックも承認もしません。

Most alerts are false positives involving Markdown backticks, Chinese documentation, ordinary indexing, and expected cache operations. Confirmed risks involve quota-token forwarding across redirects and an endpoint override that permits plaintext HTTP. No evidence found of malware, prompt injection, or unrelated credential collection.

レポートの位置

過去のレポート

このレポートを使用してインストールする前に、監査履歴を開いてください。

監査アテステーション

証明は置き換えられました

より新しい証明が存在します。

人による検証

未検証

このレポートには人による検証は記録されていません。

カバレッジ

3 スキャンされたファイル · 869 解析済み行数

レビュー対象の項目を 3 件表示

制限事項

このレポートはランタイムまたはサンドボックスでの実行を主張するものではなく、副作用がないことを証明するものでもありません。

証拠チェーン

ソースバインディングからインストール契約まで証拠をたどってください。利用可能な証拠は検証を支援しますが、安全性を保証するものではありません。

  1. ソース

    コミットとパスにバインド済み

  2. アーティファクト

    コンテンツとツリーのハッシュがバインド済み

  3. 監査

    完了

  4. インストール契約

    検証するためにマニフェストを開く

    マニフェストを開く

確認された機能

「確認」とは、このレポートで裏付けとなる証拠が記録されていることを意味します。「記録なし」は、機能が存在しないことを証明するものではありません。

スクリプトを含む

Skillに含まれるコードを実行する場合があります。

この監査では記録されていません

ネットワークアクセス

外部サービスに接続する場合があります。

9 件の証拠箇所で確認

ファイルシステムへのアクセス

ローカルファイルの読み取りまたは書き込みを行う可能性があります。

5 件の証拠箇所で確認

環境変数

プロセス環境から値を読み取る可能性があります。

4 件の証拠箇所で確認

外部コマンド

Skillの外部にあるコマンドまたはプログラムを呼び出す場合があります。

50 件の証拠箇所で確認

機能レビュー項目 (3)
中
scripts/fs_api.py:110
Python HTTP libraries
with urllib.request.urlopen(req, timeout=TIMEOUT) as resp:
Authenticated style and image requests reach this urlopen with X-FS-Quota as a regular header. Default redirects can forward that credential across origins or to HTTP.
中
scripts/fs_api.py:135
Python HTTP libraries
with urllib.request.urlopen(req, timeout=TIMEOUT) as resp:
Cloud analysis supplies X-FS-Quota as a regular header before this urlopen. Default POST redirects can forward that credential to a different origin.
中
scripts/fs_api.py:76
Python environment access
return (os.environ.get("FS_API_BASE") or DEFAULT_BASE).rstrip("/")
FS_API_BASE is accepted without HTTPS validation and feeds authenticated requests. A plaintext HTTP override exposes the quota token and cloud input to network interception.

リスク指摘

確認済みのセキュリティ上の懸念事項は、引き続きレビューが必要な項目と分けて表示されます。

この完了済み監査には、確認済みのセキュリティ検出事項は記録されていません。

是正措置

この監査で推奨される修正が記録されています。これらを適用する責任はメンテナーにあります。

  1. FIX-001
    中
    Default urllib redirect handling can forward X-FS-Quota to another host or an HTTP destination.
    Reject redirects for authenticated requests, or permit only same-origin HTTPS redirects and strip quota tokens before any origin change.
  2. FIX-002
    中
    FS_API_BASE accepts plaintext HTTP endpoints for requests carrying quota tokens and cloud input.
    Validate the endpoint scheme before requests and require HTTPS when transmitting credentials or input; document trust requirements for custom hosts.

専門家による証拠

不変の対象ID、スキャナーメタデータ、除外された一致項目、およびソースレベルの証拠。

アーティファクト主体

Marketplace コミット
c82560f0cf96396644b967b13dece3f27c3f8ddc
コンテンツハッシュ
0b545025b03cad1575b7bbc68b43345919912ef39e089f1731da7b7f5a2b4015
ツリーハッシュ
59f5a31675792c4c53a868ee1751eefe4da75424da366702d405a36bec5fb2f9
Skill パス
skills/xixi048/feeling-search
監査ペイロードハッシュ
2d7cd7f3d8a1b494d031f23191912225

分析メタデータ

監査モデル: codex

分析状態: 完了

対象範囲は、記録されたファイル、行、メソッド、および証拠に限定されます。ランタイムまたはサンドボックスでの実行は主張していません。

検証とエクスポート

JSON レポート 署名付き監査証明 CITATION.cff SARIF 2.1.0 署名付きインストールマニフェスト ソース

マニフェストとロックファイルは、インストール成果物を暗号学的ハッシュに結び付けます。この完全性に関する主張は、セキュリティ評価とは別のものです。

監査アテステーション: superseded