이 보고서는 요청한 언어로 번역되지 않았습니다. 대신 정규 영어 보고서를 표시합니다.
버전별 보안 평가
보고서 ID: SA-5C948AF0
10/4/2026, 2:41:09 PM
oil-ui 보안 평가 v1
스킬 보안 인증 보고서
스캐너 버전 3.0.0 감사 모델: codex 이전 보고서
- 스킬 이름
- oil-ui
- 버전
- v0.15.4
- 유지관리자
- oil-oil
- 적용 범위
- 24 스캔된 파일 · 3,676 분석된 줄 수
- 정책 버전
- skillstore-security-audit-policy-v1
확인된 발견 사항 중 가장 높은 심각도
높음
확인된 보안 발견 사항 2건에 주의가 필요합니다.
설치 컨텍스트
과거 증거
이 보고서는 현재 설치 가능한 아티팩트를 설명하지 않을 수 있습니다. 설치 지침은 현재 Skill 페이지를 여십시오.
현재 Skill 페이지 열기이 보고서는 매니페스트 또는 ZIP을 차단하거나 승인하지 않습니다.
Most alerts are benign JavaScript syntax, image data, Chinese documentation, and negative test fixtures. Confirmed risks include unpinned automatic updates, inherited secrets, and unsafe preview input handling. Release-note trust and selector interpolation add injection risks; no evidence of intentional malware was found.
보고서 위치
이전 보고서
이 보고서를 사용하여 설치하기 전에 감사 기록을 여세요.
감사 증명
증명 대체됨
더 새로운 증명이 존재합니다.
사람 검증
검증되지 않음
이 보고서에 대해 기록된 사람의 검증이 없습니다.
적용 범위
24 스캔된 파일 · 3,676 분석된 줄 수
검토를 위해 표시된 항목 8개
제한 사항
이 보고서는 런타임 또는 샌드박스 실행을 주장하지 않으며 부작용이 없음을 증명하지 않습니다.
증거 체인
소스 바인딩부터 설치 계약까지 증거를 따르십시오. 사용 가능한 증거는 검증을 뒷받침하지만 안전을 보장하지는 않습니다.
출처
커밋 및 경로 바인딩됨
아티팩트
콘텐츠 및 트리 해시가 바인딩됨
감사
완료
관찰된 기능
관찰됨은 이 보고서가 뒷받침하는 증거를 기록했음을 의미합니다. 기록되지 않음은 기능이 없다는 것을 증명하지 않습니다.
스크립트 포함
Skill에 포함된 코드를 실행할 수 있습니다.
2개의 증거 위치에서 관찰됨
네트워크 접근
외부 서비스에 연결될 수 있습니다.
45개의 증거 위치에서 관찰됨
파일 시스템 접근
로컬 파일을 읽거나 쓸 수 있습니다.
38개의 증거 위치에서 관찰됨
환경 변수
프로세스 환경에서 값을 읽을 수 있습니다.
25개의 증거 위치에서 관찰됨
외부 명령어
Skill 외부의 명령 또는 프로그램을 호출할 수 있습니다.
52개의 증거 위치에서 관찰됨
기능 검토 항목 (6)
높음
Python subprocess.run
result = subprocess.run([npx, "-y", CLI, "update", name, "--path", str(ROOT), "--json"], env=env,
The updater runs npx -y against an unpinned GitHub CLI and replaces the installed skill without fresh consent. Compromised upstream code could execute locally.
높음
Python environment access
env = {**os.environ, "CI": "1"}
The updater copies every environment variable into the unpinned downloaded CLI process. This exposes unrelated credentials to code outside the audited package.
높음
Synchronous file operations
res.end(readFileSync(local));
The server reads files after a string-prefix containment check, which accepts sibling directories and follows escaping symlinks. Local requests can disclose files outside the preview root.
높음
Ruby/shell backtick execution
版本检查:!`sh "${CLAUDE_SKILL_DIR}/scripts/check_update.sh" 2>/dev/null || true`
This is a real host command hook, not ordinary Markdown formatting. Loading the skill can trigger unpinned remote CLI execution through check_update.sh.
중간
Synchronous file operations
writeFileSync(file, Buffer.from(data, "base64"));
Screenshot paths incorporate unchecked --states values at lines 358-359 and 366. Parent-directory segments can escape the output directory and overwrite writable PNG files.
중간
Synchronous file operations
writeFileSync(tmp, html);
The generated sheet includes unescaped state labels from line 284, then opens the HTML at line 292. Crafted labels can execute scripts or load external resources.
위험 발견 사항
확인된 보안 우려 사항은 여전히 검토가 필요한 항목과 분리됩니다.
확인된 보안 우려 사항 (2)
RISK-001 높음
Untrusted Release Notes Enter Agent Instructions
Remote release notes are copied into updater notices after minimal trimming. SKILL.md tells agents to relay these notices, creating a prompt-injection channel.
The remote notes flow directly into output the agent consumes. No embedded attack was found, but the source-to-instruction trust boundary is explicit.
RISK-002 중간
Selector Interpolation Allows Browser Code Injection
The type action inserts its selector directly into a quoted JavaScript error message. Crafted quotes can execute unintended code in the inspected page.
The querySelector argument is serialized, but the same selector is interpolated without escaping in the error string. An isolated expression check confirmed injection.
개선 조치
이 감사에서 제안된 수정 사항이 기록되었습니다. 이를 적용하는 것은 유지 관리자의 책임입니다.
- FIX-001높음Skill loading can execute an unpinned GitHub updater and replace audited files.Make updates opt-in, require confirmation, pin the CLI to a reviewed commit, and verify replacement artifacts before loading them.
- FIX-002높음The downloaded updater inherits all environment variables.Pass a minimal environment allowlist and only explicitly authorized authentication values. Exclude unrelated project and service credentials.
- FIX-003높음The local preview server uses string-prefix containment and follows symlinks.Resolve the root and target with realpath, enforce path-relative containment, and test encoded traversal, sibling prefixes, and escaping symlinks.
- FIX-004높음Remote release notes are presented to agents without a clear trust boundary.Treat release notes as quoted untrusted data, remove control characters, and never execute or adopt instructions from updater output.
- FIX-005중간Unchecked screenshot state names can escape the output directory.Generate safe artifact identifiers independently from state text, enforce output containment, and reject escaping paths before writing.
- FIX-006중간Contact-sheet state labels are inserted into executable HTML.Render captions with textContent or HTML escaping. Apply a contact-sheet CSP that disables scripts and external resources.
- FIX-007중간The type action embeds a raw selector in evaluated JavaScript.Serialize every dynamic string with JSON.stringify, including error messages. Add regression tests with quotes and code-like selectors.
전문가 증거
변경 불가능한 대상 ID, 스캐너 메타데이터, 제외된 일치 항목 및 소스 수준 증거.
아티팩트 주체
- Marketplace 커밋
- 5c948af074e24413a5278072a82a5caa758753ba
- 콘텐츠 해시
- 7e54a37acfc7601b6be919a53f5a3668db6beb7322f6e1fb8cc2e1ad8d328c30
- 트리 해시
- 74dfcc43cd92eb80de5c25761160452842152842998f71db5053d996e5d148f7
- Skill 경로
- skills/oil-oil/oil-ui
- 감사 페이로드 해시
- b55cb8c9d3c1bd4d5f8e963c51f69511
분석 메타데이터
감사 모델: codex
분석 상태: 완료
범위는 기록된 파일, 줄, 메서드 및 증거로 제한됩니다. 런타임 또는 샌드박스 실행은 주장하지 않습니다.
검증 및 내보내기
매니페스트와 잠금 파일은 설치 아티팩트를 암호화 해시에 바인딩합니다. 이 무결성 주장은 보안 평가와는 별개입니다.
감사 증명: superseded