이 보고서는 요청한 언어로 번역되지 않았습니다. 대신 정규 영어 보고서를 표시합니다.

버전별 보안 평가

보고서 ID: SA-D9E5AB86

9/7/2026, 1:53:51 PM

convex-auth 보안 평가 v1

스킬 보안 인증 보고서

감사 이력
스캐너 버전 3.0.0 감사 모델: codex 최신 게시 보고서
스킬 이름
convex-auth
버전
v1
유지관리자
get-convex
출처
github.com/get-convex/agent-skills/tree/c41ece22681a50d326e54f30d24148a6d46d0c3c/skills/convex-auth
적용 범위
1 스캔된 파일 · 30 분석된 줄 수
정책 버전
skillstore-security-audit-policy-v1

확인된 발견 사항 중 가장 높은 심각도

높음

확인된 보안 발견 사항 1건에 주의가 필요합니다.

설치 컨텍스트

현재 Skill 페이지 확인

이 페이지는 보고서 증거만 요약합니다. Skill 페이지에서 표준 설치 권고를 제공합니다.

현재 Skill 페이지 열기

이 보고서는 매니페스트 또는 ZIP을 차단하거나 승인하지 않습니다.

Eight findings are confirmed because package execution and JWT secret handling create project, supply-chain, and credential-exposure risks. Six findings are false positives caused by Markdown, a fixed import, an illustrative localhost URL, or misclassified prose. No prompt injection or malicious intent was found.

보고서 위치

최신 게시 보고서

최신은 아티팩트의 현재 최신성이 아니라 보고서 시퀀스를 의미합니다.

감사 증명

활성 증명

이 정확한 보고서에 대한 공개 증명이 제공됩니다.

사람 검증

검증되지 않음

이 보고서에 대해 기록된 사람의 검증이 없습니다.

적용 범위

1 스캔된 파일 · 30 분석된 줄 수

검토를 위해 표시된 항목 8개

제한 사항

이 보고서는 런타임 또는 샌드박스 실행을 주장하지 않으며 부작용이 없음을 증명하지 않습니다.

증거 체인

소스 바인딩부터 설치 계약까지 증거를 따르십시오. 사용 가능한 증거는 검증을 뒷받침하지만 안전을 보장하지는 않습니다.

  1. 출처

    커밋 및 경로 바인딩됨

  2. 아티팩트

    콘텐츠 및 트리 해시가 바인딩됨

  3. 감사

    완료

  4. 설치 계약

    확인을 위해 매니페스트 열기

    매니페스트 열기

관찰된 기능

관찰됨은 이 보고서가 뒷받침하는 증거를 기록했음을 의미합니다. 기록되지 않음은 기능이 없다는 것을 증명하지 않습니다.

스크립트 포함

Skill에 포함된 코드를 실행할 수 있습니다.

1개의 증거 위치에서 관찰됨

네트워크 접근

외부 서비스에 연결될 수 있습니다.

1개의 증거 위치에서 관찰됨

파일 시스템 접근

로컬 파일을 읽거나 쓸 수 있습니다.

이 감사에서 기록되지 않음

환경 변수

프로세스 환경에서 값을 읽을 수 있습니다.

4개의 증거 위치에서 관찰됨

외부 명령어

Skill 외부의 명령 또는 프로그램을 호출할 수 있습니다.

6개의 증거 위치에서 관찰됨

기능 검토 항목 (7)
높음
SKILL.md:18
Ruby/shell backtick execution
Then set JWT_PRIVATE_KEY and JWKS (from .auth-keys.json) plus SITE_URL on the deployment. Prefer the
The CLI fallback places JWT private key material in process arguments. This risks exposure through process listings or shell history.
높음
SKILL.md:17
Generic API/secret keys
node -e 'import("jose").then(async({generateKeyPair,exportPKCS8,exportJWK})=>{const k=await generate
The command creates a private JWT key and redirects it into plaintext .auth-keys.json without setting restrictive permissions.
높음
SKILL.md:18
Generic API/secret keys
Then set JWT_PRIVATE_KEY and JWKS (from .auth-keys.json) plus SITE_URL on the deployment. Prefer the
The instruction reads generated key material and writes it into deployment configuration. Its CLI fallback can expose the secret in process arguments.
높음
SKILL.md:25
Generic API/secret keys
- Generate JWT_PRIVATE_KEY/JWKS with `jose` (extractable RS256; PKCS8 newlines to spaces; JWKS = {ke
The rule directs the agent to generate and deploy a JWT private key. This grants access to authentication secrets and privileged configuration.
중간
SKILL.md:14
Ruby/shell backtick execution
1. Install @convex-dev/auth (pinned build) and add it to convex.config.ts. With pnpm, also `pnpm add
The skill directs the agent to install packages, which executes lifecycle code and changes dependencies. The jose version is not explicitly pinned.
중간
SKILL.md:20
Ruby/shell backtick execution
5. Wire the client: ConvexAuthProvider, the sign-in component, and route guards. If you import shadc
The npx command downloads and executes a mutable latest package version. A compromised or changed release could run code in the project environment.
중간
SKILL.md:28
Ruby/shell backtick execution
- Install any shadcn/ui primitive you import up front (`npx shadcn@latest add ...`); a missing @/com
The npx command executes the mutable shadcn latest release. It exposes the project environment to unpinned third-party package code.

위험 발견 사항

확인된 보안 우려 사항은 여전히 검토가 필요한 항목과 분리됩니다.

확인된 보안 우려 사항 (1)

RISK-001 높음
SKILL.md:17
Crypto seed/private key mention
node -e 'import("jose").then(async({generateKeyPair,exportPKCS8,exportJWK})=>{const k=await generate
The command generates an actual JWT signing private key and stores it in a local plaintext file. This is genuine sensitive-key handling.

개선 조치

이 감사에서 제안된 수정 사항이 기록되었습니다. 이를 적용하는 것은 유지 관리자의 책임입니다.

  1. FIX-001
    높음
    The key-generation command writes a private JWT key to a plaintext file without restrictive permissions.
    Avoid persistent plaintext storage. If temporary storage is necessary, enforce owner-only permissions, exclude the file from version control, and delete it reliably.
  2. FIX-002
    높음
    The CLI fallback places private key material in command arguments.
    Use a secret-input mechanism that keeps JWT_PRIVATE_KEY out of process listings and shell history.
  3. FIX-003
    중간
    Package installation and npx instructions can execute mutable third-party package code.
    Pin exact package versions and verify package integrity before installation or npx execution.

전문가 증거

변경 불가능한 대상 ID, 스캐너 메타데이터, 제외된 일치 항목 및 소스 수준 증거.

아티팩트 주체

Marketplace 커밋
d9e5ab86dafd32a1ddde9b8b4fde177589b55b95
콘텐츠 해시
4909b6f370df16f557a4c23bfbf61ca2543a1f776770ff79c22ac9007c9ae2e8
트리 해시
2668c0155d0e483fc9590d98beada97c97fda260a1bed0b1ea976ea7b30e4a24
Skill 경로
skills/get-convex/convex-auth
감사 페이로드 해시
104a12e417e265ac6110da94b6d33dab

분석 메타데이터

감사 모델: codex

분석 상태: 완료

범위는 기록된 파일, 줄, 메서드 및 증거로 제한됩니다. 런타임 또는 샌드박스 실행은 주장하지 않습니다.

검증 및 내보내기

JSON 보고서 서명된 감사 증명 CITATION.cff SARIF 2.1.0 서명된 설치 매니페스트 출처

매니페스트와 잠금 파일은 설치 아티팩트를 암호화 해시에 바인딩합니다. 이 무결성 주장은 보안 평가와는 별개입니다.

감사 증명: active