スキル zach-product-research

📦

zach-product-research

Name: zach-product-research
Author: zach22-1999

コンテンツリビジョン r1 高リスク ⚡ スクリプトを含む⚙️ 外部コマンド📁 ファイルシステムへのアクセス🔑 環境変数

Amazonの商品機会を分析

Amazon出品者は、商品に投資する前に信頼できる市場調査を必要としています。このスキルは、Sorftimeデータと構造化された分析を使用して、レポート、ダッシュボード、Excelシート、Go/No-Go判断を作成します。

対応: Claude Codex Code(CC)

⚠️ 38 不十分

Maintain this Skill? Claim it ⚠️ 38 不十分

インストール前に停止して確認を求めてください。

計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "zach-product-research" from https://skillstore.io/skills/zach22-1999-zach-product-research.md and its manifest at https://skillstore.io/api/skills/zach22-1999-zach-product-research/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/zach22-1999-zach-product-research.md 署名済み manifest GET /api/skills/zach22-1999-zach-product-research/manifest 署名済み lockfile GET /api/skills/zach22-1999-zach-product-research/lockfile

テストする

「zach-product-research」を使用しています。 Analyze the US market for magnetic power banks.

期待される結果:

エグゼクティブサマリー、KPI表、競合ロジック、VOCのペインポイント、機会ギャップ、Go/No-Goスコアカードを含む市場調査パッケージ。

「zach-product-research」を使用しています。 Find underserved combinations in standing desk accessories.

期待される結果:

高需要かつ低供給のセグメントを、理由、優先度スコア、商品戦略提案とともに示すクロスディメンション分析。

「zach-product-research」を使用しています。 Prepare final deliverables for a selected Amazon category.

期待される結果:

同じ構造化調査ペイロードから生成されたMarkdown、HTML、ダッシュボード、Excel、補助データファイル。

セキュリティ監査

高リスク

v4 • 2026/7/8 バージョン別レポートを開く

Most static detections are false positives from Markdown backticks, JavaScript template literals, CSS grid text, Object.keys usage, relative documentation links, and Chinese prose. Confirmed issues remain in partially sanitized dashboard innerHTML rendering, hidden MCP configuration guidance, and renderer behavior that can write unsafe paths, raw HTML, or spreadsheet formulas from untrusted payloads. I found no prompt-injection attempt in the reviewed files.

スキャンされたファイル

5,643

解析済み行数

レビュー項目

誤検知を無視

確認済みのセキュリティ上の懸念 (4)

高

scripts/render_deliverables.py:141-158 scripts/render_deliverables.py:1109-1112

Untrusted Output Path Construction

The renderer builds output directories and filenames directly from payload metadata and writes artifact filenames by joining them to the output directory. Metadata or artifact names containing path separators or dot segments could write outside the intended report directory.

The code directly combines metadata and artifact keys with Path objects before writing files, with no normalization or containment check shown.

高

scripts/render_deliverables.py:130-131 scripts/render_deliverables.py:1149-1152

Raw HTML Passthrough in Legacy Report Mode

Legacy v1 payloads are accepted when report_html is present, and that HTML is written directly to an output file. A malicious payload could produce a report containing arbitrary script or phishing content.

The branch explicitly requires report_html for v1 payloads and later writes payload["report_html"] without sanitization or an allowlist.

高

SKILL.md:172-175

Noninteractive MCP Secret Access Guidance

The skill advises using ~/.cursor/mcp.json for a local direct HTTP MCP fallback when network access is available. This can expose local MCP credentials and bypass normal interactive authorization.

The instruction explicitly references a hidden MCP configuration file and frames it as a non-interactive fallback, even though it warns not to echo real keys.

中

scripts/render_deliverables.py:1092-1105

Excel Formula Injection Risk

The Excel writer copies payload values directly into workbook cells. Values beginning with formula characters could execute spreadsheet formulas when a user opens the generated workbook.

The writer assigns row values directly to cells and does not prefix or escape strings that start with formula metacharacters.

機能レビュー項目 (4)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

高

SKILL.md:175

Hidden file in home directory

- 如果环境允许网络访问,且本机 `~/.cursor/mcp.json` 已配置 Sorftime,可考虑走**本地直连 HTTP MCP** 作为非交互式 fallback;**严禁回显真实 ke

The skill explicitly points to ~/.cursor/mcp.json and suggests a non-interactive local HTTP MCP fallback. That home-directory config can contain credentials, so this is a real secret-handling and authorization-bypass risk.

高

SKILL.md:175

Hidden file access

- 如果环境允许网络访问,且本机 `~/.cursor/mcp.json` 已配置 Sorftime,可考虑走**本地直连 HTTP MCP** 作为非交互式 fallback;**严禁回显真实 ke

The instruction encourages using a hidden user config file for Sorftime MCP access. Even with a warning not to echo keys, reading that file can expose secrets and bypass normal user confirmation flows.

中

assets/dashboard_template.html:674

innerHTML assignment (XSS risk)

container.innerHTML = items.map((item, index) => {

renderBarList inserts secondaryText directly into innerHTML, and at least one caller builds that value from payload-derived share text without escapeHtml. A crafted report payload could inject HTML into the generated dashboard.

中

assets/dashboard_template.html:1118

innerHTML assignment (XSS risk)

document.getElementById("scoreBars").innerHTML = (DATA.scorecard || []).filter((row) => row["维度"] !=

The score bar renderer escapes dimension and description fields but inserts score and max values directly from payload-derived scorecard rows. Non-numeric crafted values could become HTML in the dashboard.

リスク要因

⚡ スクリプトを含む (18)

⚙️ 外部コマンド (238)

📁 ファイルシステムへのアクセス (11)

README.md:24 README.md:115 README.md:119 scripts/render_deliverables.py:31 scripts/render_deliverables.py:1382 scripts/WINDOWS_USAGE.md:25 scripts/WINDOWS_USAGE.md:66 scripts/WINDOWS_USAGE.md:72 scripts/WINDOWS_USAGE.md:75 SKILL.md:175 SKILL.md:175

🔑 環境変数 (1)

scripts/cross_analysis.py:65

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/zach22-1999-zach-product-research/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/zach22-1999-zach-product-research/security.svg)](https://skillstore.io/skills/zach22-1999-zach-product-research?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/zach22-1999-zach-product-research?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/zach22-1999-zach-product-research/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/zach22-1999-zach-product-research.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

zach22-1999. (2026). zach-product-research security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/zach22-1999-zach-product-research/audits/4

BibTeX形式の引用

@techreport{zach22-1999-zach22-1999-zach-product-research-2026,
  author = {zach22-1999},
  title = {zach-product-research security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/zach22-1999-zach-product-research/audits/4},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "zach-product-research security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
  - name: "zach22-1999"
date-released: "2026-07-08"
url: "https://skillstore.io/skills/zach22-1999-zach-product-research/audits/4"
identifiers:
  - type: other
    value: "skillstore:zach22-1999-zach-product-research:audit:4"
    description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由証拠の信頼度: 中

アーキテクチャ

保守性

コンテンツ

コミュニティ

仕様準拠

作成できるもの

新しい商品アイデアを検証する

在庫を調達する前に、需要、競争、レビュー、価格帯、参入障壁を評価します。

カテゴリのギャップを見つける

Top100商品を解析し、ディメンションを比較して、十分に満たされていない商品組み合わせを見つけます。

投資家向けの調査資料を準備する

Markdown、HTML、ダッシュボード、Excel、判断根拠を含む構造化された調査パッケージを作成します。

これらのプロンプトを試す

基本的な市場チェック

Use zach-product-research to analyze the US Amazon market for laptop backpacks. Focus on demand, competition, price range, and a clear Go/No-Go recommendation.

カテゴリ機会スキャン

Use zach-product-research to compare three related Amazon categories in the US market. Identify the best category for a small brand with a moderate launch budget.

競合およびVOCレビュー

Use zach-product-research to study competitors and negative reviews for portable monitors. Map pain points to product features and pricing recommendations.

完全な成果物ワークフロー

Use zach-product-research to run a full Sorftime research workflow for pet water fountains. Produce the unified payload, validate it, and generate all report deliverables.