Este relatório não está traduzido para o idioma solicitado. O relatório canônico em inglês é exibido no lugar.

Avaliação de segurança versionada

ID do relatório: SA-2AAB20A3

10/13/2026, 3:40:04 AM

taiwan-lunar-cal avaliação de segurança v1

Relatório de Certificação de Segurança da Skill

Histórico de auditoria
Versão do scanner 3.0.0 Modelo de auditoria: codex Relatório publicado mais recente
Nome da skill
taiwan-lunar-cal
Versão
v1
Mantenedor
tahodev
Fonte
github.com/tahodev/baodao-skill/tree/3ce4b58e4525f5a66390e1236b6d38702790225a/taiwan-lunar-cal
Cobertura
1 Arquivos analisados · 164 Linhas analisadas
Versão da política
skillstore-security-audit-policy-v1

Resumo de descobertas confirmadas

Nenhuma descoberta de segurança confirmada

A auditoria concluída não registrou nenhuma constatação de segurança confirmada. Isso não prova que a Skill não tenha efeitos colaterais.

Contexto de instalação

Confira a página atual de Habilidades

Esta página resume apenas as evidências do relatório. A página da Skill fornece o aviso canônico de instalação.

Abra a página atual do Skill

Este relatório não bloqueia nem autoriza o manifesto ou o ZIP.

Eight backtick findings are false positives caused by Markdown syntax, not shell command substitution. Three temporary-file findings expose a predictable shared-directory script to preexisting content or symlink attacks. No evidence found of prompt injection, credential access, or data exfiltration in SKILL.md.

Posição do relatório

Relatório publicado mais recente

Mais recente refere-se à sequência do relatório, não à atualidade do artefato.

Atestado de auditoria

Atestação ativa

Uma atestação pública está disponível para este relatório exato.

Verificação humana

Não verificado

Nenhuma verificação humana está registrada para este relatório.

Cobertura

1 Arquivos analisados · 164 Linhas analisadas

3 itens exibidos para revisão

Limitações

Este relatório não alega execução em runtime ou sandbox e não prova a ausência de efeitos colaterais.

Cadeia de evidências

Siga as evidências desde a vinculação à origem até o contrato de instalação. As evidências disponíveis oferecem suporte à verificação; não são uma garantia de segurança.

  1. Fonte

    Commit e caminho vinculados

  2. Artefato

    Hashes de conteúdo e árvore vinculados

  3. Auditoria

    Concluído

  4. Contrato de instalação

    Abra o manifesto para verificar

    Abra o manifesto

Recursos observados

Observado significa que este relatório registrou evidências de suporte. Não registrado não prova que uma capacidade está ausente.

Contém scripts

Pode executar código incluído com o Skill.

Não registrado por esta auditoria

Acesso à rede

Pode conectar-se a serviços externos.

Não registrado por esta auditoria

Acesso ao sistema de arquivos

Pode ler ou gravar arquivos locais.

Observado em 3 locais de evidência

Variáveis de ambiente

Pode ler valores do ambiente do processo.

Não registrado por esta auditoria

Comandos externos

Pode invocar comandos ou programas fora do Skill.

Observado em 8 locais de evidência

Itens de revisão de capacidade (3)
Médio
SKILL.md:136
Temp directory access
上面兩段程式(農曆換算、節氣計算)都是 python3 標準庫實作,不需要安裝任何套件。把兩段依序存成同一個 `.py` 檔(如 `/tmp/lunar.py`)後直接呼叫:
The recommended /tmp/lunar.py path is predictable in a shared directory and is later appended to and executed. No private-directory or ownership safeguards are specified.
Médio
SKILL.md:139
Temp directory access
cat >> /tmp/lunar.py <<'EOF'
The append redirection preserves any preexisting script content and follows symlinks at a predictable temporary path. Another local user could precreate malicious content or redirect writes.
Médio
SKILL.md:149
Temp directory access
python3 /tmp/lunar.py
Python executes the predictable temporary script without verifying ownership or excluding preexisting content. This can run attacker-supplied code after the preceding append operation.

Descobertas de risco

As preocupações de segurança confirmadas são separadas dos itens que ainda precisam de revisão.

Nenhum achado de segurança confirmado foi registrado nesta auditoria concluída.

Medidas corretivas

As correções sugeridas foram registradas por esta auditoria. Aplicá-las é responsabilidade da pessoa responsável pela manutenção.

  1. FIX-001
    Médio
    SKILL.md:136-149 recommends appending to and executing a predictable script in a shared temporary directory.
    Create a private directory with mktemp -d and restrictive permissions. Write the complete script there without appending to existing files, then execute and remove it.

Evidência especializada

Identidade imutável do sujeito, metadados do scanner, correspondências descartadas e evidências no nível da origem.

Sujeito do artefato

Commit do Marketplace
2aab20a3878daa05021884e089a7dd7739e08581
Hash do conteúdo
e694c0e9b4dfaadf276a431d3218b9c5385e35b739538635f0fe9ae792dbfa69
Hash da árvore
2db4373e529224e7fbf5a1e045d3e523d89355f4e3fb29b7e9b2ced99d7ce64a
Caminho do Skill
skills/tahodev/taiwan-lunar-cal
Hash da carga de auditoria
f240492af66946b6ac305cb3398afec7

Metadados da análise

Modelo de auditoria: codex

Estado da análise: Concluído

O escopo limita-se aos arquivos, linhas, métodos e evidências registrados. Nenhuma execução em runtime ou sandbox é alegada.

Verificar e exportar

Relatório JSON Atestado de auditoria assinado CITATION.cff SARIF 2.1.0 Manifesto de instalação assinado Fonte

O manifesto e o arquivo de bloqueio vinculam os artefatos de instalação a hashes criptográficos. Esta alegação de integridade é separada da avaliação de segurança.

Atestado de auditoria: active