이 보고서는 요청한 언어로 번역되지 않았습니다. 대신 정규 영어 보고서를 표시합니다.

버전별 보안 평가

보고서 ID: SA-A97D7EDF

10/23/2026, 12:09:59 PM

stack-analyzer 보안 평가 v13

스킬 보안 인증 보고서

감사 이력
스캐너 버전 3.0.0 감사 모델: codex 최신 게시 보고서
스킬 이름
stack-analyzer
버전
v13
유지관리자
Consiliency
출처
github.com/Consiliency/treesitter-chunker/tree/main/.ai-dev-kit/skills/stack-analyzer
적용 범위
2 스캔된 파일 · 542 분석된 줄 수
정책 버전
skillstore-security-audit-policy-v1

확인된 발견 사항 중 가장 높은 심각도

중간

확인된 보안 발견 사항 4건에 주의가 필요합니다.

설치 컨텍스트

현재 Skill 페이지 확인

이 페이지는 보고서 증거만 요약합니다. Skill 페이지에서 표준 설치 권고를 제공합니다.

현재 Skill 페이지 열기

이 보고서는 매니페스트 또는 ZIP을 차단하거나 승인하지 않습니다.

All 46 static alerts were dismissed after contextual review, including manual inspection of the three templates. One semantic finding identifies unsafe scaffolding writes that can overwrite files outside the intended destination. No evidence found of credential theft, data exfiltration, or audit-manipulation instructions.

보고서 위치

최신 게시 보고서

최신은 아티팩트의 현재 최신성이 아니라 보고서 시퀀스를 의미합니다.

감사 증명

활성 증명

이 정확한 보고서에 대한 공개 증명이 제공됩니다.

사람 검증

검증되지 않음

이 보고서에 대해 기록된 사람의 검증이 없습니다.

적용 범위

2 스캔된 파일 · 542 분석된 줄 수

검토를 위해 표시된 항목 4개

제한 사항

이 보고서는 런타임 또는 샌드박스 실행을 주장하지 않으며 부작용이 없음을 증명하지 않습니다.

증거 체인

소스 바인딩부터 설치 계약까지 증거를 따르십시오. 사용 가능한 증거는 검증을 뒷받침하지만 안전을 보장하지는 않습니다.

  1. 출처

    커밋 및 경로 바인딩됨

  2. 아티팩트

    콘텐츠 및 트리 해시가 바인딩됨

  3. 감사

    완료

  4. 설치 계약

    확인을 위해 매니페스트 열기

    매니페스트 열기

관찰된 기능

관찰됨은 이 보고서가 뒷받침하는 증거를 기록했음을 의미합니다. 기록되지 않음은 기능이 없다는 것을 증명하지 않습니다.

스크립트 포함

Skill에 포함된 코드를 실행할 수 있습니다.

이 감사에서 기록되지 않음

네트워크 접근

외부 서비스에 연결될 수 있습니다.

1개의 증거 위치에서 관찰됨

파일 시스템 접근

로컬 파일을 읽거나 쓸 수 있습니다.

1개의 증거 위치에서 관찰됨

환경 변수

프로세스 환경에서 값을 읽을 수 있습니다.

이 감사에서 기록되지 않음

외부 명령어

Skill 외부의 명령 또는 프로그램을 호출할 수 있습니다.

40개의 증거 위치에서 관찰됨

위험 발견 사항

확인된 보안 우려 사항은 여전히 검토가 필요한 항목과 분리됩니다.

확인된 보안 우려 사항 (4)

RISK-001 중간
SKILL.md:124-133
Scaffolding Writes Are Not Confined to the Destination
After copying the template, the example uses '> temp && mv temp SKILL.md' without changing directories. Following it can overwrite the caller's SKILL.md; a preexisting temp symlink can redirect truncation to another writable file.
The complete scaffolding block contains relative writes and no destination directory change or collision checks. Damage requires executing the documented example with scaffolding enabled.
RISK-002 낮음
templates/project-testing/SKILL.md:1
Unscanned file (invalid_frontmatter) — manual review required
[unscanned: invalid_frontmatter]
Force-confirmed metadata/low static finding; AI false-positive verdict rejected.
RISK-003 낮음
templates/project-research/SKILL.md:1
Unscanned file (invalid_frontmatter) — manual review required
[unscanned: invalid_frontmatter]
Force-confirmed metadata/low static finding; AI false-positive verdict rejected.
RISK-004 낮음
templates/project-domain/SKILL.md:1
Unscanned file (invalid_frontmatter) — manual review required
[unscanned: invalid_frontmatter]
Force-confirmed metadata/low static finding; AI false-positive verdict rejected.

개선 조치

이 감사에서 제안된 수정 사항이 기록되었습니다. 이를 적용하는 것은 유지 관리자의 책임입니다.

  1. FIX-001
    중간
    Scaffolding writes to relative files without entering the generated skill directory.
    Resolve every output beneath the approved destination, reject existing files and symlinks, and use unique temporary files before atomic replacement.
  2. FIX-002
    중간
    The scaffolding example uses an unquoted target path and inserts the project name directly into a sed expression.
    Validate project identifiers, quote target paths, enforce repository containment, and use literal template replacement instead of interpolating sed syntax.
  3. FIX-003
    낮음
    Template names contain unquoted placeholders, and the generation example prepends a comment before YAML frontmatter.
    Quote placeholder names, render them before loading, keep frontmatter first, and validate each generated skill before activation.

전문가 증거

변경 불가능한 대상 ID, 스캐너 메타데이터, 제외된 일치 항목 및 소스 수준 증거.

아티팩트 주체

Marketplace 커밋
a97d7edf7f0f20a32837c04a3936b78615ff5cfa
콘텐츠 해시
bde7ed2e93547a370475c4af5f1d2b9d9239cd131f37617d01e2455d343d4b30
트리 해시
5c629d8e67d166fee8d82b5d3e280ec9bd8526ae8a35d3419aff46ab589c29f4
Skill 경로
skills/consiliency/stack-analyzer
감사 페이로드 해시
1f392f71b174043d30a25ac7dcbb6492

분석 메타데이터

감사 모델: codex

분석 상태: 완료

범위는 기록된 파일, 줄, 메서드 및 증거로 제한됩니다. 런타임 또는 샌드박스 실행은 주장하지 않습니다.

검증 및 내보내기

JSON 보고서 서명된 감사 증명 CITATION.cff SARIF 2.1.0 서명된 설치 매니페스트 출처

매니페스트와 잠금 파일은 설치 아티팩트를 암호화 해시에 바인딩합니다. 이 무결성 주장은 보안 평가와는 별개입니다.

감사 증명: active