Este relatório não está traduzido para o idioma solicitado. O relatório canônico em inglês é exibido no lugar.

Avaliação de segurança versionada

ID do relatório: SA-B1EF8011

9/7/2026, 2:58:38 PM

zoho-crm-automation avaliação de segurança v5

Relatório de Certificação de Segurança da Skill

Histórico de auditoria
Versão do scanner 3.0.0 Modelo de auditoria: codex Relatório publicado mais recente
Nome da skill
zoho-crm-automation
Versão
v5
Mantenedor
sickn33
Fonte
github.com/sickn33/antigravity-awesome-skills/tree/main/skills/zoho-crm-automation
Cobertura
1 Arquivos analisados · 216 Linhas analisadas
Versão da política
skillstore-security-audit-policy-v1

Maior gravidade de descoberta confirmada

Médio

1 constatação de segurança confirmada requer atenção.

Contexto de instalação

Confira a página atual de Habilidades

Esta página resume apenas as evidências do relatório. A página da Skill fornece o aviso canônico de instalação.

Abra a página atual do Skill

Este relatório não bloqueia nem autoriza o manifesto ou o ZIP.

All external-command alerts are Markdown false positives, and the reconnaissance alert describes a Zoho record ID. Rube MCP is a real third-party network dependency, while CRM mutations lack an explicit confirmation requirement.

Posição do relatório

Relatório publicado mais recente

Mais recente refere-se à sequência do relatório, não à atualidade do artefato.

Atestado de auditoria

Atestação ativa

Uma atestação pública está disponível para este relatório exato.

Verificação humana

Não verificado

Nenhuma verificação humana está registrada para este relatório.

Cobertura

1 Arquivos analisados · 216 Linhas analisadas

2 itens exibidos para revisão

Limitações

Este relatório não alega execução em runtime ou sandbox e não prova a ausência de efeitos colaterais.

Cadeia de evidências

Siga as evidências desde a vinculação à origem até o contrato de instalação. As evidências disponíveis oferecem suporte à verificação; não são uma garantia de segurança.

  1. Fonte

    Commit e caminho vinculados

  2. Artefato

    Hashes de conteúdo e árvore vinculados

  3. Auditoria

    Concluído

  4. Contrato de instalação

    Abra o manifesto para verificar

    Abra o manifesto

Recursos observados

Observado significa que este relatório registrou evidências de suporte. Não registrado não prova que uma capacidade está ausente.

Contém scripts

Pode executar código incluído com o Skill.

Não registrado por esta auditoria

Acesso à rede

Pode conectar-se a serviços externos.

Observado em 1 local de evidência

Acesso ao sistema de arquivos

Pode ler ou gravar arquivos locais.

Não registrado por esta auditoria

Variáveis de ambiente

Pode ler valores do ambiente do processo.

Não registrado por esta auditoria

Comandos externos

Pode invocar comandos ou programas fora do Skill.

Observado em 47 locais de evidência

Itens de revisão de capacidade (1)
Baixo
SKILL.md:21
Hardcoded URL
**Get Rube MCP**: Add `https://rube.app/mcp` as an MCP server in your client configuration. No API k
The setup explicitly directs users to connect the external Rube MCP endpoint. This creates an intentional third-party network and OAuth trust boundary for CRM operations.

Descobertas de risco

As preocupações de segurança confirmadas são separadas dos itens que ainda precisam de revisão.

Preocupações de segurança confirmadas (1)

RISK-001 Médio
SKILL.md:60-61SKILL.md:80-81SKILL.md:99-109
CRM Mutations Lack Explicit Confirmation
The instructions call create, update, and lead-conversion tools without requiring a preview or user confirmation, although lead conversion is explicitly irreversible.
The documented sequences proceed directly to mutating tools, and line 109 states that lead conversion is irreversible. No confirmation requirement appears in the workflow.

Medidas corretivas

As correções sugeridas foram registradas por esta auditoria. Aplicá-las é responsabilidade da pessoa responsável pela manutenção.

  1. FIX-001
    Médio
    Mutating CRM workflows lack a confirmation gate.
    Require a preview and explicit user confirmation before record creation, updates, related-record changes, and irreversible lead conversion.
  2. FIX-002
    Baixo
    Zoho access depends on an external MCP service.
    Document Rube data handling, required OAuth scopes, and the records transmitted through the service before users connect production CRM accounts.

Evidência especializada

Identidade imutável do sujeito, metadados do scanner, correspondências descartadas e evidências no nível da origem.

Sujeito do artefato

Commit do Marketplace
b1ef80115e869b66867d4eac8e3c8dc56a393a8d
Hash do conteúdo
50e88930e15eaef187afc8326110e08eadbbc8e7b7d937917bd755d94535ce03
Hash da árvore
acea9259733dd103f092f5101e60d54914447e161d20acaa5ac5cb647887ca4b
Caminho do Skill
skills/sickn33/zoho-crm-automation
Hash da carga de auditoria
25887ef5c9b746e0395294618ddae490

Metadados da análise

Modelo de auditoria: codex

Estado da análise: Concluído

O escopo limita-se aos arquivos, linhas, métodos e evidências registrados. Nenhuma execução em runtime ou sandbox é alegada.

Verificar e exportar

Relatório JSON Atestado de auditoria assinado CITATION.cff SARIF 2.1.0 Manifesto de instalação assinado Fonte

O manifesto e o arquivo de bloqueio vinculam os artefatos de instalação a hashes criptográficos. Esta alegação de integridade é separada da avaliação de segurança.

Atestado de auditoria: active