이 보고서는 요청한 언어로 번역되지 않았습니다. 대신 정규 영어 보고서를 표시합니다.

버전별 보안 평가

보고서 ID: SA-7AD822EF

10/26/2026, 10:31:17 PM

brewpage-publish 보안 평가 v6

스킬 보안 인증 보고서

감사 이력

스캐너 버전 3.0.0 감사 모델: codex 이전 보고서

스킬 이름: brewpage-publish
버전: v6
유지관리자: kochetkov-ma
출처: github.com/kochetkov-ma/claude-brewcode/tree/d2d42282fecec988447f9c9547959b31a8012644/skills/brewpage-publish
적용 범위: 7 스캔된 파일 · 1,260 분석된 줄 수
정책 버전: skillstore-security-audit-policy-v1

확인된 발견 사항 중 가장 높은 심각도

높음

확인된 보안 발견 사항 1건에 주의가 필요합니다.

설치 컨텍스트

과거 증거

이 보고서는 현재 설치 가능한 아티팩트를 설명하지 않을 수 있습니다. 설치 지침은 현재 Skill 페이지를 여십시오.

현재 Skill 페이지 열기

이 보고서는 매니페스트 또는 ZIP을 차단하거나 승인하지 않습니다.

All 260 static alerts match documentation, exclusion patterns, intended service endpoints, or defensive local operations. A separate high-severity multipart path injection can upload unintended local files through crafted filenames. No evidence found of prompt injection or deliberate credential exfiltration.

보고서 위치

이전 보고서

이 보고서를 사용하여 설치하기 전에 감사 기록을 여세요.

감사 증명

증명 대체됨

더 새로운 증명이 존재합니다.

사람 검증

검증되지 않음

이 보고서에 대해 기록된 사람의 검증이 없습니다.

적용 범위

7 스캔된 파일 · 1,260 분석된 줄 수

검토를 위해 표시된 항목 1개

제한 사항

이 보고서는 런타임 또는 샌드박스 실행을 주장하지 않으며 부작용이 없음을 증명하지 않습니다.

증거 체인

소스 바인딩부터 설치 계약까지 증거를 따르십시오. 사용 가능한 증거는 검증을 뒷받침하지만 안전을 보장하지는 않습니다.

출처

커밋 및 경로 바인딩됨
아티팩트

콘텐츠 및 트리 해시가 바인딩됨
감사

완료
설치 계약

확인을 위해 매니페스트 열기
매니페스트 열기

관찰된 기능

관찰됨은 이 보고서가 뒷받침하는 증거를 기록했음을 의미합니다. 기록되지 않음은 기능이 없다는 것을 증명하지 않습니다.

스크립트 포함

Skill에 포함된 코드를 실행할 수 있습니다.

이 감사에서 기록되지 않음

네트워크 접근

외부 서비스에 연결될 수 있습니다.

14개의 증거 위치에서 관찰됨

파일 시스템 접근

로컬 파일을 읽거나 쓸 수 있습니다.

31개의 증거 위치에서 관찰됨

환경 변수

프로세스 환경에서 값을 읽을 수 있습니다.

4개의 증거 위치에서 관찰됨

외부 명령어

Skill 외부의 명령 또는 프로그램을 호출할 수 있습니다.

50개의 증거 위치에서 관찰됨

위험 발견 사항

확인된 보안 우려 사항은 여전히 검토가 필요한 항목과 분리됩니다.

확인된 보안 우려 사항 (1)

RISK-001 높음

scripts/brewpage-run.sh:135-136 scripts/brewpage-run.sh:183 scripts/brewpage-run.sh:193-199

Multipart Path Injection Can Upload Unintended Local Files

Upload paths enter curl multipart syntax without filename escaping. A crafted existing path containing commas can select additional readable local files, sending their contents outside the approved source.

A loopback test used an existing comma-containing fixture path and reproduced an additional file upload. Shell quoting does not disable curl multipart parsing.

개선 조치

이 감사에서 제안된 수정 사항이 기록되었습니다. 이를 적용하는 것은 유지 관리자의 책임입니다.

FIX-001
높음
File and supplied-ZIP paths enter curl -F syntax without escaping, allowing commas to select unintended local files.

Copy each validated source into the private run directory under a fixed safe basename before upload. Add regression tests for comma and semicolon filenames.

전문가 증거

변경 불가능한 대상 ID, 스캐너 메타데이터, 제외된 일치 항목 및 소스 수준 증거.

아티팩트 주체

Marketplace 커밋: 7ad822ef13aa628e78d9da143046fd04fec0428e
콘텐츠 해시: b15355ed8c401f28f23f94bd44f7148b639bc6979c8955de9f937244b1dcad27
트리 해시: bf8d970bf1108d6057b44d5834a35578f8879fe8e883a2f922d37aa86abac2dd
Skill 경로: skills/kochetkov-ma/brewpage-publish
감사 페이로드 해시: daecbf174a8337257d045e9451fa5880

분석 메타데이터

감사 모델: codex

분석 상태: 완료

범위는 기록된 파일, 줄, 메서드 및 증거로 제한됩니다. 런타임 또는 샌드박스 실행은 주장하지 않습니다.

검증 및 내보내기

JSON 보고서 서명된 감사 증명 CITATION.cff SARIF 2.1.0 서명된 설치 매니페스트 출처

매니페스트와 잠금 파일은 설치 아티팩트를 암호화 해시에 바인딩합니다. 이 무결성 주장은 보안 평가와는 별개입니다.

감사 증명: superseded