Este relatório não está traduzido para o idioma solicitado. O relatório canônico em inglês é exibido no lugar.

Avaliação de segurança versionada

ID do relatório: SA-008649E0

7/5/2026, 7:56:58 AM

seo-optimizer avaliação de segurança v7

Relatório de Certificação de Segurança da Skill

Histórico de auditoria
Modelo de auditoria: codex Relatório histórico
Nome da skill
seo-optimizer
Versão
v7
Mantenedor
CrazySwami
Fonte
github.com/CrazySwami/wordpress-dev-skills/tree/main/skills/seo-optimizer
Cobertura
2 Arquivos analisados · 574 Linhas analisadas
Versão da política
Indisponível

Maior gravidade de descoberta confirmada

Médio

2 constatações de segurança confirmadas requerem atenção.

Contexto de instalação

Evidências históricas

Este relatório pode não descrever o artefato atualmente instalável. Abra a página atual da Skill para obter orientações de instalação.

Abra a página atual do Skill

Este relatório não bloqueia nem autoriza o manifesto ou o ZIP.

The audit confirms real risk from external command execution, direct WordPress database access, a hardcoded default site URL, and a hidden Claude MCP configuration reference. Many Markdown fences, documentation links, and WordPress metadata references are false positives rather than shell execution or system reconnaissance. No prompt injection attempt was found in the reviewed files.

Posição do relatório

Relatório histórico

Abra o histórico de auditoria antes de usar este relatório para instalar.

Atestado de auditoria

Não atestável

A vinculação imutável exigida está incompleta.

Verificação humana

Não verificado

Nenhuma verificação humana está registrada para este relatório.

Cobertura

2 Arquivos analisados · 574 Linhas analisadas

6 itens exibidos para revisão

Limitações

Este relatório não alega execução em runtime ou sandbox e não prova a ausência de efeitos colaterais.

Cadeia de evidências

Siga as evidências desde a vinculação à origem até o contrato de instalação. As evidências disponíveis oferecem suporte à verificação; não são uma garantia de segurança.

  1. Fonte

    Vinculação indisponível

  2. Artefato

    Identidade incompleta

  3. Auditoria

    Concluído

  4. Contrato de instalação

    Abra o manifesto para verificar

    Abra o manifesto

Recursos observados

Observado significa que este relatório registrou evidências de suporte. Não registrado não prova que uma capacidade está ausente.

Contém scripts

Pode executar código incluído com o Skill.

Não registrado por esta auditoria

Acesso à rede

Pode conectar-se a serviços externos.

Observado em 8 locais de evidência

Acesso ao sistema de arquivos

Pode ler ou gravar arquivos locais.

Observado em 1 local de evidência

Variáveis de ambiente

Pode ler valores do ambiente do processo.

Não registrado por esta auditoria

Comandos externos

Pode invocar comandos ou programas fora do Skill.

Observado em 14 locais de evidência

Itens de revisão de capacidade (4)
Alto
audit.py:39
Python subprocess.run
result = subprocess.run(cmd, capture_output=True, text=True, timeout=30)
The script executes docker and mysql through subprocess.run with local database credentials. Arguments are not shell-expanded, but the skill gains direct WordPress database access through an external command.
Alto
audit.py:94
Python subprocess.run
result = subprocess.run(
The script invokes curl through subprocess.run against a URL derived from the base URL argument. This creates arbitrary outbound network access through an external command.
Médio
SKILL.md:130
Hidden file access
Uses the Unsplash MCP server configured at `/root/.claude/.mcp.json`:
The skill references /root/.claude/.mcp.json, a hidden Claude configuration path that may contain MCP server configuration or credentials. Marketplace skills should not rely on or direct access to private root-level config files.
Baixo
audit.py:355
Hardcoded URL
parser.add_argument('--base-url', type=str, default='https://local2.hustletogether.com',
The CLI default base URL points to a specific WordPress host. Running the script without an explicit base URL will contact that site.

Descobertas de risco

As preocupações de segurança confirmadas são separadas dos itens que ainda precisam de revisão.

Preocupações de segurança confirmadas (2)

RISK-001 Médio
SKILL.md:82
System reconnaissance
WHERE post_id = {id} AND meta_key = '_yoast_wpseo_metadesc';
The SQL example writes wp_postmeta directly with an interpolated description value. This bypasses WordPress and plugin validation and can modify site content metadata.
RISK-002 Médio
SKILL.md:133-134
Network reconnaissance
- Upload to WordPress
The Unsplash workflow includes uploading downloaded media to WordPress. It is not reconnaissance, but it is a network write and site modification that needs explicit user approval.

Medidas corretivas

As correções sugeridas foram registradas por esta auditoria. Aplicá-las é responsabilidade da pessoa responsável pela manutenção.

  1. FIX-001
    Alto
    External command execution for Docker, MySQL, and curl
    Use Python database and HTTP libraries with strict URL validation, clear user confirmation, and no command wrappers.
  2. FIX-002
    Alto
    Direct WordPress database write guidance
    Use WordPress REST APIs or SEO plugin APIs for updates, and require preview approval before modifying metadata.
  3. FIX-003
    Médio
    Hardcoded default WordPress URL and database credentials
    Require explicit user configuration or environment variables, and avoid contacting any default external target.
  4. FIX-004
    Médio
    Hidden Claude MCP configuration reference
    Remove the /root/.claude/.mcp.json dependency and document explicit Unsplash setup without private config access.
  5. FIX-005
    Médio
    Automated external image upload workflow
    Add user review for selected images, license checks, and explicit approval before uploading media to WordPress.

Evidência especializada

Identidade imutável do sujeito, metadados do scanner, correspondências descartadas e evidências no nível da origem.

Sujeito do artefato

Commit do Marketplace
Indisponível
Hash do conteúdo
Indisponível
Hash da árvore
Indisponível
Caminho do Skill
Indisponível
Hash da carga de auditoria
Indisponível

Metadados da análise

Modelo de auditoria: codex

Estado da análise: Concluído

O escopo limita-se aos arquivos, linhas, métodos e evidências registrados. Nenhuma execução em runtime ou sandbox é alegada.

Verificar e exportar

Relatório JSON CITATION.cff SARIF 2.1.0 Manifesto de instalação assinado

O manifesto e o arquivo de bloqueio vinculam os artefatos de instalação a hashes criptográficos. Esta alegação de integridade é separada da avaliação de segurança.

Atestado de auditoria: not_attestable