Este relatório não está traduzido para o idioma solicitado. O relatório canônico em inglês é exibido no lugar.

Avaliação de segurança versionada

ID do relatório: SA-2AAB20A3

10/13/2026, 3:07:40 AM

taiwan-garbage avaliação de segurança v1

Relatório de Certificação de Segurança da Skill

Histórico de auditoria
Versão do scanner 3.0.0 Modelo de auditoria: codex Relatório publicado mais recente
Nome da skill
taiwan-garbage
Versão
v1
Mantenedor
tahodev
Fonte
github.com/tahodev/baodao-skill/tree/3ce4b58e4525f5a66390e1236b6d38702790225a/taiwan-garbage
Cobertura
1 Arquivos analisados · 162 Linhas analisadas
Versão da política
skillstore-security-audit-policy-v1

Resumo de descobertas confirmadas

Nenhuma descoberta de segurança confirmada

A auditoria concluída não registrou nenhuma constatação de segurança confirmada. Isso não prova que a Skill não tenha efeitos colaterais.

Contexto de instalação

Confira a página atual de Habilidades

Esta página resume apenas as evidências do relatório. A página da Skill fornece o aviso canônico de instalação.

Abra a página atual do Skill

Este relatório não bloqueia nem autoriza o manifesto ou o ZIP.

Most findings are Markdown formatting, public government URLs, dataset identifiers, and legitimate data processing rather than malicious execution or reconnaissance. Seven temporary-file writes use predictable paths, creating local overwrite and symlink risks in shared environments. No evidence found of prompt injection, credential theft, or data exfiltration.

Posição do relatório

Relatório publicado mais recente

Mais recente refere-se à sequência do relatório, não à atualidade do artefato.

Atestado de auditoria

Atestação ativa

Uma atestação pública está disponível para este relatório exato.

Verificação humana

Não verificado

Nenhuma verificação humana está registrada para este relatório.

Cobertura

1 Arquivos analisados · 162 Linhas analisadas

7 itens exibidos para revisão

Limitações

Este relatório não alega execução em runtime ou sandbox e não prova a ausência de efeitos colaterais.

Cadeia de evidências

Siga as evidências desde a vinculação à origem até o contrato de instalação. As evidências disponíveis oferecem suporte à verificação; não são uma garantia de segurança.

  1. Fonte

    Commit e caminho vinculados

  2. Artefato

    Hashes de conteúdo e árvore vinculados

  3. Auditoria

    Concluído

  4. Contrato de instalação

    Abra o manifesto para verificar

    Abra o manifesto

Recursos observados

Observado significa que este relatório registrou evidências de suporte. Não registrado não prova que uma capacidade está ausente.

Contém scripts

Pode executar código incluído com o Skill.

Não registrado por esta auditoria

Acesso à rede

Pode conectar-se a serviços externos.

Observado em 8 locais de evidência

Acesso ao sistema de arquivos

Pode ler ou gravar arquivos locais.

Observado em 15 locais de evidência

Variáveis de ambiente

Pode ler valores do ambiente do processo.

Não registrado por esta auditoria

Comandos externos

Pode invocar comandos ou programas fora do Skill.

Observado em 45 locais de evidência

Itens de revisão de capacidade (7)
Médio
SKILL.md:27
Temp directory access
curl -sLm 30 'https://data.taipei/api/dataset/6bb3304b-4f46-4bb0-8cd1-60c66dcd1cae/resource/a6e90031
curl writes to the predictable /tmp/tpe_garbage.csv path without exclusive creation. In shared environments, a pre-created symlink can redirect writes to runner-writable files.
Médio
SKILL.md:48
Temp directory access
sed '1s/^\xef\xbb\xbf//' /tmp/tpe_garbage.csv > /tmp/g.csv
Shell redirection truncates the predictable /tmp/g.csv output and follows existing symlinks. A pre-created link can therefore overwrite another runner-writable file.
Médio
SKILL.md:67
Temp directory access
curl -sm 30 'https://data.ntpc.gov.tw/api/datasets/EDC3AD26-8AE7-4916-A00B-BC6048D19BF8/json?page=0&
curl writes page zero to the fixed /tmp/ntpc_g0.json path. A pre-existing symlink can redirect this nonexclusive write to another runner-writable file.
Médio
SKILL.md:68
Temp directory access
curl -sm 30 'https://data.ntpc.gov.tw/api/datasets/EDC3AD26-8AE7-4916-A00B-BC6048D19BF8/json?page=1&
curl writes page one to the predictable /tmp/ntpc_g1.json path. Without private-directory isolation, pre-created links can cause unintended local file overwrites.
Médio
SKILL.md:69
Temp directory access
curl -sm 30 'https://data.ntpc.gov.tw/api/datasets/EDC3AD26-8AE7-4916-A00B-BC6048D19BF8/json?page=2&
The page-two download uses the fixed /tmp/ntpc_g2.json output path. Existing symlinks can redirect writes to files writable by the runner.
Médio
SKILL.md:70
Temp directory access
jq -s 'add' /tmp/ntpc_g0.json /tmp/ntpc_g1.json /tmp/ntpc_g2.json > /tmp/ntpc_g.json
The merge redirects output to the predictable /tmp/ntpc_g.json path. Shell redirection follows existing symlinks and can truncate an unintended runner-writable target.
Médio
SKILL.md:113
Temp directory access
curl -sm 60 'https://newdatacenter.taichung.gov.tw/api/v1/no-auth/resource.download?rid=68d1a87f-7ba
curl saves the Taichung dataset to the predictable /tmp/tc_g.json path. Pre-created symlinks can redirect this write to other runner-writable files.

Descobertas de risco

As preocupações de segurança confirmadas são separadas dos itens que ainda precisam de revisão.

Nenhum achado de segurança confirmado foi registrado nesta auditoria concluída.

Medidas corretivas

As correções sugeridas foram registradas por esta auditoria. Aplicá-las é responsabilidade da pessoa responsável pela manutenção.

  1. FIX-001
    Médio
    Downloads and transformations write to predictable temporary paths.
    Create a private directory with mktemp -d, store all downloaded and transformed files there, and clean it up after use.

Evidência especializada

Identidade imutável do sujeito, metadados do scanner, correspondências descartadas e evidências no nível da origem.

Sujeito do artefato

Commit do Marketplace
2aab20a3878daa05021884e089a7dd7739e08581
Hash do conteúdo
d92972829c56268e1252d9c4b4571bbdb76933c07891dd8fb02e93e45de0af02
Hash da árvore
2be1d47608e425d9312df76e29ac3095c15b98286daff88eab8fb403b2361187
Caminho do Skill
skills/tahodev/taiwan-garbage
Hash da carga de auditoria
ac8b64b547ed49c5548c5ddc5bb902e7

Metadados da análise

Modelo de auditoria: codex

Estado da análise: Concluído

O escopo limita-se aos arquivos, linhas, métodos e evidências registrados. Nenhuma execução em runtime ou sandbox é alegada.

Verificar e exportar

Relatório JSON Atestado de auditoria assinado CITATION.cff SARIF 2.1.0 Manifesto de instalação assinado Fonte

O manifesto e o arquivo de bloqueio vinculam os artefatos de instalação a hashes criptográficos. Esta alegação de integridade é separada da avaliação de segurança.

Atestado de auditoria: active