Habilidades Microsoft Graph API
📦
Microsoft Graph API
v0.3.0 Revisão do conteúdo r1 Risco alto 🌐 Acesso à rede⚙️ Comandos externos📁 Acesso ao sistema de arquivos🔑 Variáveis de ambiente
Gerenciar Mail e Calendário do Outlook
Tarefas de email e calendário do Microsoft 365 frequentemente precisam de chamadas autenticadas à Graph API. Esta skill fornece scripts para ler mensagens, enviar emails, listar eventos e criar entradas de calendário.
Suporta: Claude Codex Code(CC)
Pare e solicite confirmação antes de instalar.
Revise o plano e obtenha o consentimento explícito do usuário antes de alterar arquivos.
Instalar com meu Agente
Copie esta solicitação para o seu Agente. Ela inclui a página canônica do Skill e o manifesto.
Solicitação do agente
Review the Skillstore skill "Microsoft Graph API" from https://skillstore.io/skills/bltgv-microsoft-graph-api.md and its manifest at https://skillstore.io/api/skills/bltgv-microsoft-graph-api/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.Seu Agente ainda deve apresentar o plano e solicitar qualquer confirmação exigida pela política de segurança.
Recursos legíveis por agentes
Use estes links quando um agente de IA, crawler ou script precisar de contexto limpo em vez de ler a página completa.
Testar
Usando "Microsoft Graph API". Mostre minhas mensagens não lidas da caixa de entrada.
Resultado esperado:
Uma lista concisa de mensagens não lidas com remetente, assunto, horário de recebimento, status de leitura e prévia do corpo.
Usando "Microsoft Graph API". Quais reuniões tenho esta semana?
Resultado esperado:
Uma agenda cronológica com títulos dos eventos, horários de início e término, locais, organizadores e status dos participantes quando disponível.
Usando "Microsoft Graph API". Envie um email de acompanhamento para a equipe do projeto.
Resultado esperado:
Uma solicitação de confirmação mostrando destinatários, assunto e corpo da mensagem antes que o email seja enviado.
Auditoria de segurança
Risco altov9 • 19/07/2026 Abrir o relatório versionado
Most static alerts are false positives caused by TypeScript template literals, Markdown backticks, example identifiers, and official Microsoft URLs. Confirmed risks include OAuth network operations, immediate email sending, and plaintext credential storage. Semantic review also found weak secret-file permissions, indirect prompt-injection exposure, and unconfirmed calendar creation.
11
Arquivos analisados
2,369
Linhas analisadas
9
Itens de revisão
0
Falsos positivos ignorados
Preocupações de segurança confirmadas (4)
Alto
Credential JSON file
const CREDENTIALS_FILE = join(CONFIG_DIR, "credentials.json");
This path is used to persist Microsoft Graph access and refresh tokens as plaintext JSON. Disclosure of the file can grant delegated mailbox and calendar access.
Alto
OAuth Secret Files Lack Restrictive Permissions
Credential and pending-auth files contain tokens or device codes. The write operations do not set restrictive modes, so other local users may read them.
Both functions write sensitive JSON with writeFile and no mode option. Default permissions depend on umask and can permit local disclosure.
Alto
Indirect Prompt Injection Exposure
Email bodies and calendar text are returned directly to the agent. Malicious content may influence later email or calendar actions without an untrusted-data boundary.
The scripts return externally controlled message bodies and event fields verbatim. The skill instructions provide no rule to treat retrieved content only as data.
Médio
Calendar Creation Has No Confirmation Gate
The create command posts events and attendee invitations immediately. The skill does not require a final user review of subject, time, or recipients.
The create branch validates required fields and posts immediately. The usage instructions show direct create commands without a confirmation step.
Itens de revisão de capacidade (9)
Estas são capacidades locais reais que podem ser esperadas para esta habilidade, portanto exigem revisão, mas não são contabilizadas como comportamento malicioso confirmado.
Alto
Email sending capability
await graphPost(token, "/me/sendMail", { message });
This call sends a message through the authenticated mailbox immediately. The script has no recipient preview or explicit confirmation gate before the external side effect.
Baixo
Fetch API call
const response = await fetch(url, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
Baixo
Fetch API call
const response = await fetch(url, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
Baixo
Fetch API call
const response = await fetch(url, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
Baixo
Fetch API call
const response = await fetch(url, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
Baixo
Fetch API call
const response = await fetch(url, {
The fetch performs OAuth device-code, token, or refresh exchanges with Microsoft identity endpoints. This is expected, but it transmits authentication material over the network.
Baixo
Fetch API call
const response = await fetch(url, {
The fetch performs OAuth device-code, token, or refresh exchanges with Microsoft identity endpoints. This is expected, but it transmits authentication material over the network.
Baixo
Fetch API call
const response = await fetch(url, {
The fetch performs OAuth device-code, token, or refresh exchanges with Microsoft identity endpoints. This is expected, but it transmits authentication material over the network.
Baixo
Fetch API call
const response = await fetch(`https://graph.microsoft.com/v1.0${endpoint}`, {
The fetch sends an OAuth bearer token to Microsoft Graph and accesses mailbox or calendar data. The destination is fixed and legitimate, but the network capability is security-relevant.
Fatores de risco
🌐 Acesso à rede (25)
references/graph-api.md:241 scripts/auth.ts:77 scripts/auth.ts:83 scripts/auth.ts:171 scripts/calendar.ts:125 scripts/calendar.ts:143 scripts/calendar.ts:123 scripts/calendar.ts:141 scripts/emails.ts:122 scripts/emails.ts:140 scripts/emails.ts:120 scripts/emails.ts:138 scripts/emails.ts:325 scripts/lib/device-code.ts:45 scripts/lib/device-code.ts:87 scripts/lib/device-code.ts:152 scripts/lib/device-code.ts:38 scripts/lib/device-code.ts:78 scripts/lib/device-code.ts:142 scripts/lib/graph-client.ts:155 scripts/lib/graph-client.ts:62 scripts/lib/graph-client.ts:155 SKILL.md:33 SKILL.md:42 SKILL.md:55
⚙️ Comandos externos (50)
scripts/auth.ts:57-104 scripts/auth.ts:120 scripts/auth.ts:121 scripts/auth.ts:122 scripts/auth.ts:124 scripts/auth.ts:127 scripts/auth.ts:129 scripts/auth.ts:140 scripts/auth.ts:142 scripts/auth.ts:155 scripts/auth.ts:156 scripts/auth.ts:158 scripts/auth.ts:160 scripts/auth.ts:163 scripts/auth.ts:165 scripts/auth.ts:171 scripts/auth.ts:178 scripts/auth.ts:179 scripts/auth.ts:180 scripts/auth.ts:181 scripts/auth.ts:199 scripts/auth.ts:200 scripts/auth.ts:201 scripts/calendar.ts:66-113 scripts/calendar.ts:123 scripts/calendar.ts:127 scripts/calendar.ts:134 scripts/calendar.ts:141 scripts/calendar.ts:146 scripts/calendar.ts:154 scripts/calendar.ts:287 scripts/calendar.ts:305 scripts/calendar.ts:325 scripts/calendar.ts:410 scripts/emails.ts:65-110 scripts/emails.ts:120 scripts/emails.ts:124 scripts/emails.ts:131 scripts/emails.ts:138 scripts/emails.ts:143 scripts/emails.ts:151 scripts/emails.ts:198 scripts/emails.ts:224 scripts/emails.ts:252 scripts/emails.ts:273 scripts/emails.ts:339 scripts/lib/auth-handler.ts:66-79 scripts/lib/auth-handler.ts:79-194 scripts/lib/device-code.ts:38 scripts/lib/device-code.ts:55
📁 Acesso ao sistema de arquivos (3)
🔑 Variáveis de ambiente (2)
Auditado por: codex Ver histórico de auditoria →
Compartilhar e citar este relatório
Compartilhe o relatório de avaliação versionado, o badge neutro, o cartão incorporável e as citações. A Skillstore apresenta evidências sem decidir se este Skill é seguro.
Copiar link do relatório
https://skillstore.io/skills/bltgv-microsoft-graph-api/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportBadge Markdown
[](https://skillstore.io/skills/bltgv-microsoft-graph-api?utm_source=security_passport_badge)Badge HTML
<a href="https://skillstore.io/skills/bltgv-microsoft-graph-api?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/bltgv-microsoft-graph-api/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Cartão incorporável
<iframe src="https://skillstore.io/embed/skills/bltgv-microsoft-graph-api.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Citações acadêmicas (APA · BibTeX · CFF)
Citação APA
BLTGV. (2026). Microsoft Graph API security audit report (audit version 9) [Author version 0.3.0]. Skillstore. https://skillstore.io/skills/bltgv-microsoft-graph-api/audits/9Citação BibTeX
@techreport{bltgv-bltgv-microsoft-graph-api-2026,
author = {BLTGV},
title = {Microsoft Graph API security audit report (audit version 9)},
institution = {Skillstore},
year = {2026},
number = {9},
url = {https://skillstore.io/skills/bltgv-microsoft-graph-api/audits/9},
note = {Author version 0.3.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "Microsoft Graph API security audit report (audit version 9)"
version: "0.3.0"
type: report
authors:
- name: "BLTGV"
date-released: "2026-07-19"
url: "https://skillstore.io/skills/bltgv-microsoft-graph-api/audits/9"
identifiers:
- type: other
value: "skillstore:bltgv-microsoft-graph-api:audit:9"
description: "Skillstore immutable audit report identifier"
Pontuação do Skillstore
Por que esta pontuação Confiança das evidências: Médio 64
Arquitetura
100
Manutenibilidade
87
Conteúdo
71
Comunidade
74
Conformidade com a especificação
O que você pode criar
Revisar Emails Recentes
Resumir mensagens recentes do Outlook, pesquisar remetentes importantes e abrir conteúdo específico de emails quando necessário.
Gerenciar a Agenda Diária
Verificar hoje, esta semana ou um intervalo de datas personalizado em busca de eventos do calendário do Microsoft 365.
Automatizar Fluxos de Trabalho com Graph
Usar scripts autenticados para enviar mensagens ou criar reuniões a partir de um fluxo de trabalho de agente.
Teste estes prompts
Listar Emails Recentes da Caixa de Entrada
Mostre minhas 10 mensagens mais recentes da caixa de entrada do Outlook com remetente, assunto, horário de recebimento e uma prévia curta.
Encontrar Mensagens por Tópico
Pesquise no meu email do Outlook mensagens sobre [topic] da última semana. Resuma os assuntos e remetentes correspondentes.
Planejar um Evento de Calendário
Crie um evento de calendário para [meeting name] em [date and time] com [attendees]. Confirme todos os detalhes comigo antes de criá-lo.
Coordenar Email e Calendário
Encontre emails de [person] sobre [project], identifique quaisquer horários de reunião propostos e rascunhe um evento de calendário para minha aprovação.
Boas práticas
- Confirme destinatário, assunto e corpo com o usuário antes de enviar email.
- Use perfis separados para contas profissionais e pessoais.
- Peça o menor intervalo de dados necessário ao ler mensagens ou eventos.
Evitar
- Não envie email nem crie eventos sem aprovação explícita do usuário.
- Não solicite dados amplos da caixa de correio quando uma pesquisa específica for suficiente.
- Não armazene tokens de contas compartilhadas ou de serviço em um perfil de usuário.
Perguntas frequentes
Quais serviços da Microsoft esta skill acessa?
Ela acessa dados de email do Outlook e do calendário do Microsoft 365 por meio do Microsoft Graph.
Ela exige autenticação?
Sim. Ela usa a autenticação por código de dispositivo da Microsoft e armazena o token resultante localmente.
Ela pode enviar email?
Sim. Ela pode enviar email quando a conta conectada concede a permissão Mail.Send.
Ela pode criar eventos de calendário?
Sim. Ela pode criar eventos quando a conta conectada concede permissões de gravação no calendário.
Onde as credenciais são armazenadas?
Os scripts armazenam credenciais OAuth em um arquivo JSON no diretório de configuração do usuário.
Ela lida automaticamente com grandes conjuntos de resultados?
Não. Ela limita os resultados com valores top e não implementa paginação completa.