Habilidades when-auditing-security-use-security-analyzer

📦

when-auditing-security-use-security-analyzer

Name: when-auditing-security-use-security-analyzer
Author: DNYoussef

v1.0.0 Revisão do conteúdo r1 Risco Médio 🌐 Acesso à rede⚡ Contém scripts⚙️ Comandos externos📁 Acesso ao sistema de arquivos🔑 Variáveis de ambiente

Execute auditorias de segurança com agentes de IA

Revisões de segurança frequentemente deixam passar problemas espalhados por código, dependências, comportamento em tempo de execução e segredos. Esta skill orienta Claude, Codex e Claude Code por um fluxo de trabalho estruturado de auditoria com pontos de controle de relatório.

Suporta: Claude Codex Code(CC)

📊 70 Adequado

Instalar com meu Agente

Copie esta solicitação para o seu Agente. Ela inclui a página canônica do Skill e o manifesto.

Solicitação do agente

Review the Skillstore skill "when-auditing-security-use-security-analyzer" from https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer.md and its manifest at https://skillstore.io/api/skills/dnyoussef-when-auditing-security-use-security-analyzer/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

Seu Agente ainda deve apresentar o plano e solicitar qualquer confirmação exigida pela política de segurança.

Recursos legíveis por agentes

Use estes links quando um agente de IA, crawler ou script precisar de contexto limpo em vez de ler a página completa.

Detalhe em Markdown GET /skills/dnyoussef-when-auditing-security-use-security-analyzer.md manifest assinado GET /api/skills/dnyoussef-when-auditing-security-use-security-analyzer/manifest lockfile assinado GET /api/skills/dnyoussef-when-auditing-security-use-security-analyzer/lockfile

Testar

Usando "when-auditing-security-use-security-analyzer". Execute uma varredura estática de segurança antes do meu pull request.

Resultado esperado:

Resumo das contagens de problemas por severidade.
Lista de prováveis achados de SQL injection, XSS, path traversal e criptografia.
Correções recomendadas ordenadas por impacto.

Usando "when-auditing-security-use-security-analyzer". Verifique se este release tem novas regressões de segurança.

Resultado esperado:

Comparação com baseline mostrando se as contagens de problemas aumentaram ou diminuíram.
Resumo de risco do release.
Ações necessárias antes da aprovação.

Usando "when-auditing-security-use-security-analyzer". Audite dependências e segredos expostos.

Resultado esperado:

Resumo de vulnerabilidades de dependências a partir de npm audit.
Possíveis correspondências de credenciais encontradas em arquivos locais.
Orientação para rotacionar segredos e atualizar pacotes quando necessário.

Auditoria de segurança

Risco Médio

v10 • 09/07/2026 Abrir o relatório versionado

The static matches are overwhelmingly scanner signatures, documentation examples, local temporary-file usage, or local audit commands rather than malicious behavior. I did not find evidence of credential exfiltration, destructive actions, prompt injection, or unauthorized remote targeting, but the skill does execute external tooling and can generate sensitive local reports. Static review was capped at 400/481 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

Arquivos analisados

3,524

Linhas analisadas

Itens de revisão

Falsos positivos ignorados

Preocupações de segurança confirmadas (2)

Médio

SKILL.md:52-65 slash-command-security-analyzer.sh:220-225

Unpinned External Package Execution

The workflow repeatedly invokes npx claude-flow@alpha. Running an alpha package through npx can execute code fetched from the package registry unless the user has pinned, audited, and approved that dependency.

The cited lines show direct npx execution of claude-flow@alpha in both documentation and the command script. This is a supply-chain and execution-safety concern, but it is transparent and related to the skill workflow rather than hidden malware.

Baixo

slash-command-security-analyzer.sh:379-403 slash-command-security-analyzer.sh:479-506

Security Reports May Contain Sensitive Findings

The analyzer writes matched secrets, dependency data, and source snippets into local temporary files and the output report. This is expected for a scanner, but reports must be treated as sensitive artifacts.

The script explicitly scans for credentials and includes findings in the generated report. There is no external upload shown, so the issue is local handling and disclosure risk.

Fatores de risco

🌐 Acesso à rede (32)

⚡ Contém scripts (9)

PROCESS.md:141 PROCESS.md:138 PROCESS.md:150 SKILL.md:91 SKILL.md:441 SKILL.md:92 SKILL.md:92 SKILL.md:103 SKILL.md:90

⚙️ Comandos externos (50)

PROCESS.md:94-103 PROCESS.md:359-385 PROCESS.md:385-410 PROCESS.md:410-411 PROCESS.md:411-432 PROCESS.md:432-436 PROCESS.md:436-458 PROCESS.md:458-460 PROCESS.md:460-488 PROCESS.md:507-521 PROCESS.md:521-532 PROCESS.md:50 PROCESS.md:259 PROCESS.md:260 PROCESS.md:262 PROCESS.md:263 PROCESS.md:264 PROCESS.md:265 PROCESS.md:267 PROCESS.md:274 PROCESS.md:286 PROCESS.md:546 PROCESS.md:560 README.md:284 README.md:288 README.md:104 README.md:283 SKILL.md:37-44 SKILL.md:44-52 SKILL.md:52-66 SKILL.md:66-69 SKILL.md:69-128 SKILL.md:128-131 SKILL.md:131-140 SKILL.md:140-148 SKILL.md:148-235 SKILL.md:235-251 SKILL.md:251-254 SKILL.md:254-261 SKILL.md:261-269 SKILL.md:269-306 SKILL.md:306-309 SKILL.md:309-322 SKILL.md:322-330 SKILL.md:330-394 SKILL.md:394-397 SKILL.md:397-405 SKILL.md:405-413 SKILL.md:413-570 SKILL.md:570-573

📁 Acesso ao sistema de arquivos (50)

🔑 Variáveis de ambiente (8)

PROCESS.md:243 PROCESS.md:243 SKILL.md:745 SKILL.md:745 SKILL.md:343 SKILL.md:745 SKILL.md:746 slash-command-security-analyzer.sh:389

Auditado por: claude Ver histórico de auditoria →

Compartilhar e citar este relatório

Compartilhe o relatório de avaliação versionado, o badge neutro, o cartão incorporável e as citações. A Skillstore apresenta evidências sem decidir se este Skill é seguro.

Abrir o relatório versionado

Copiar link do relatório

https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer/audits/10?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Badge Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/dnyoussef-when-auditing-security-use-security-analyzer/security.svg)](https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer?utm_source=security_passport_badge)

Badge HTML

<a href="https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/dnyoussef-when-auditing-security-use-security-analyzer/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Cartão incorporável

<iframe src="https://skillstore.io/embed/skills/dnyoussef-when-auditing-security-use-security-analyzer.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citações acadêmicas (APA · BibTeX · CFF)

Citação APA

DNYoussef. (2026). when-auditing-security-use-security-analyzer security audit report (audit version 10) [Author version 1.0.0]. Skillstore. https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer/audits/10

Citação BibTeX

@techreport{dnyoussef-dnyoussef-when-auditing-security-use-security-analyzer-2026,
  author = {DNYoussef},
  title = {when-auditing-security-use-security-analyzer security audit report (audit version 10)},
  institution = {Skillstore},
  year = {2026},
  number = {10},
  url = {https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer/audits/10},
  note = {Author version 1.0.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "when-auditing-security-use-security-analyzer security audit report (audit version 10)"
version: "1.0.0"
type: report
authors:
  - name: "DNYoussef"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/dnyoussef-when-auditing-security-use-security-analyzer/audits/10"
identifiers:
  - type: other
    value: "skillstore:dnyoussef-when-auditing-security-use-security-analyzer:audit:10"
    description: "Skillstore immutable audit report identifier"

Pontuação do Skillstore

Por que esta pontuação Confiança das evidências: Alto

Arquitetura

100

Manutenibilidade

Conteúdo

Comunidade

Conformidade com a especificação

O que você pode criar

Revisão de segurança pré-merge

Execute uma varredura local antes de abrir um pull request para detectar problemas comuns de injeção, segredos e dependências.

Auditoria de prontidão para release

Combine verificações estáticas, resultados de npm audit e pontuação OWASP em um único relatório antes de um release.

Fluxo de aprendizado de segurança

Use exemplos documentados vulneráveis e seguros para ensinar equipes como problemas comuns de segurança web aparecem no código.

Teste estes prompts

Execute uma varredura estática básica

Use o analisador de segurança para executar uma varredura estática neste projeto e resumir os achados mais importantes.

Verifique segredos e dependências

Execute a detecção de segredos e a auditoria de dependências, depois me diga quais achados precisam de ação imediata.

Compare com um baseline

Execute o analisador de segurança nesta base de código e compare os resultados com meu relatório de baseline existente.

Realize uma auditoria completa de release

Execute o fluxo de trabalho completo do analisador de segurança com modo estrito, inclua cobertura OWASP e produza um plano de correção priorizado.

Boas práticas

Execute varreduras somente em repositórios e serviços locais que você está autorizado a testar.
Revise cada achado manualmente antes de tratá-lo como uma vulnerabilidade confirmada.
Armazene relatórios gerados com segurança, pois eles podem incluir caminhos de arquivos ou trechos de código sensíveis.

Evitar

Não execute testes dinâmicos ou de rate-limit contra sistemas de terceiros sem permissão por escrito.
Não cole relatórios gerados em ferramentas públicas quando eles contiverem segredos ou caminhos internos.
Não trate resultados baseados em grep como cobertura completa para problemas de segurança complexos.

Perguntas frequentes

Esta skill explora vulnerabilidades?

Não. Ela foi projetada para revisão defensiva autorizada e validação local, não para exploração ofensiva.

Ela pode ser executada com Claude Code?

Sim. A skill declara suporte para Claude, Codex e Claude Code.

Ela verificará dependências?

Sim. Ela executa npm audit quando package.json existe no caminho de varredura selecionado.

Ela consegue encontrar todos os segredos?

Não. Ela verifica padrões comuns e pode deixar passar formatos incomuns ou credenciais criptografadas.

Ela envia achados para serviços externos?

O script revisado grava relatórios locais e, opcionalmente, chama Claude Flow hooks. Os usuários devem revisar o comportamento dos hooks antes de habilitá-lo.

A revisão manual ainda é necessária?

Sim. O scanner é baseado em padrões, portanto humanos devem confirmar severidade, explorabilidade e prioridade de correção.