Este relatório não está traduzido para o idioma solicitado. O relatório canônico em inglês é exibido no lugar.

Avaliação de segurança versionada

ID do relatório: SA-5E1F762E

10/10/2026, 7:38:50 PM

m3-expressive avaliação de segurança v1

Relatório de Certificação de Segurança da Skill

Histórico de auditoria
Versão do scanner 3.0.0 Modelo de auditoria: codex Relatório publicado mais recente
Nome da skill
m3-expressive
Versão
v1
Mantenedor
abhixv
Fonte
github.com/abhixv/m3-expressive-design-skill/tree/c0cabd4918084298e379b0252e28c475057c9960/skills/m3-expressive
Cobertura
26 Arquivos analisados · 12,538 Linhas analisadas
Versão da política
skillstore-security-audit-policy-v1

Resumo de descobertas confirmadas

Nenhuma descoberta de segurança confirmada

A auditoria concluída não registrou nenhuma constatação de segurança confirmada. Isso não prova que a Skill não tenha efeitos colaterais.

Contexto de instalação

Confira a página atual de Habilidades

Esta página resume apenas as evidências do relatório. A página da Skill fornece o aviso canônico de instalação.

Abra a página atual do Skill

Este relatório não bloqueia nem autoriza o manifesto ou o ZIP.

Of 400 supplied alerts, 396 are false positives; four confirm conditional filesystem and network risks in the optional image refresh script. No evidence found of malicious intent, credential theft, or prompt injection in the reviewed context. The analyzer withheld 21 additional matches, which require manual review before automatic publication. Static review was capped at 400/421 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

Posição do relatório

Relatório publicado mais recente

Mais recente refere-se à sequência do relatório, não à atualidade do artefato.

Atestado de auditoria

Atestação indisponível

Nenhuma atestação pública está disponível para este relatório.

Verificação humana

Não verificado

Nenhuma verificação humana está registrada para este relatório.

Cobertura

26 Arquivos analisados · 12,538 Linhas analisadas

4 itens exibidos para revisão

Limitações

Este relatório não alega execução em runtime ou sandbox e não prova a ausência de efeitos colaterais.

Cadeia de evidências

Siga as evidências desde a vinculação à origem até o contrato de instalação. As evidências disponíveis oferecem suporte à verificação; não são uma garantia de segurança.

  1. Fonte

    Commit e caminho vinculados

  2. Artefato

    Hashes de conteúdo e árvore vinculados

  3. Auditoria

    Concluído

  4. Contrato de instalação

    Abra o manifesto para verificar

    Abra o manifesto

Recursos observados

Observado significa que este relatório registrou evidências de suporte. Não registrado não prova que uma capacidade está ausente.

Contém scripts

Pode executar código incluído com o Skill.

Observado em 7 locais de evidência

Acesso à rede

Pode conectar-se a serviços externos.

Observado em 6 locais de evidência

Acesso ao sistema de arquivos

Pode ler ou gravar arquivos locais.

Observado em 20 locais de evidência

Variáveis de ambiente

Pode ler valores do ambiente do processo.

Não registrado por esta auditoria

Comandos externos

Pode invocar comandos ou programas fora do Skill.

Observado em 50 locais de evidência

Itens de revisão de capacidade (4)
Médio
scripts/refresh-m3.js:201
Node.js fs operations
for (const s of new Set(found.map(f => f.rel.split('/')[0]))) fs.mkdirSync(path.join(outdir, s), { r
Image paths use remote route slugs with separators replaced, but allow ".." as a directory name. Malformed upstream data can cause writes outside outdir.
Médio
scripts/refresh-m3.js:212
Node.js fs operations
fs.writeFileSync(dest, buf);
Image paths use remote route slugs with separators replaced, but allow ".." as a directory name. Malformed upstream data can cause writes outside outdir.
Médio
scripts/refresh-m3.js:212
Synchronous file operations
fs.writeFileSync(dest, buf);
Image paths use remote route slugs with separators replaced, but allow ".." as a directory name. Malformed upstream data can cause writes outside outdir.
Médio
scripts/refresh-m3.js:41
HTTP/HTTPS get
https.get(url, { headers: { 'User-Agent': 'Mozilla/5.0' } }, res => {
The image downloader accepts upstream image URLs and follows redirects without host or private-address restrictions. Manipulated upstream content could trigger requests to internal HTTPS services.

Descobertas de risco

As preocupações de segurança confirmadas são separadas dos itens que ainda precisam de revisão.

Nenhum achado de segurança confirmado foi registrado nesta auditoria concluída.

Medidas corretivas

As correções sugeridas foram registradas por esta auditoria. Aplicá-las é responsabilidade da pessoa responsável pela manutenção.

  1. FIX-001
    Médio
    Static review capped
    Manually review the omitted 21 static analyzer matches or reduce bundled generated/vendor/reference content before enabling automatic publication.
  2. FIX-002
    Médio
    Remote image route slugs can escape the output directory.
    Reject empty, "." and ".." slugs. Resolve every image destination and verify directory containment before creating directories or writing files.
  3. FIX-003
    Médio
    Image downloads and redirects permit unrestricted HTTPS destinations.
    Allowlist trusted asset hosts and HTTPS ports. Validate every redirect and resolved address; reject loopback, link-local, and private network destinations.
  4. FIX-004
    Médio
    The static analyzer withheld 21 additional matches from adjudication.
    Provide the remaining matches for manual review before automatic publication. Do not treat this capped review as full static-finding coverage.

Evidência especializada

Identidade imutável do sujeito, metadados do scanner, correspondências descartadas e evidências no nível da origem.

Sujeito do artefato

Commit do Marketplace
5e1f762ecf28b75c366ed9b67053b444b2eb9ffd
Hash do conteúdo
82bf71dff32f388793ae2524461be9741a91b405d2027b0c4660a3bf01f4a6d5
Hash da árvore
ccf4b69dc7cc12a83f1e63eabed954d6a6d3bff63bc0eddc4bd6e4d9671c481f
Caminho do Skill
skills/abhixv/m3-expressive
Hash da carga de auditoria
61bef84c928b01a5228633d6071b4841

Metadados da análise

Modelo de auditoria: codex

Estado da análise: Concluído

O escopo limita-se aos arquivos, linhas, métodos e evidências registrados. Nenhuma execução em runtime ou sandbox é alegada.

Verificar e exportar

Relatório JSON CITATION.cff SARIF 2.1.0 Manifesto de instalação assinado Fonte

O manifesto e o arquivo de bloqueio vinculam os artefatos de instalação a hashes criptográficos. Esta alegação de integridade é separada da avaliação de segurança.

Atestado de auditoria: unavailable