Este relatório não está traduzido para o idioma solicitado. O relatório canônico em inglês é exibido no lugar.

Avaliação de segurança versionada

ID do relatório: SA-2AAB20A3

10/13/2026, 4:13:29 AM

taiwan-suspension avaliação de segurança v1

Relatório de Certificação de Segurança da Skill

Histórico de auditoria
Versão do scanner 3.0.0 Modelo de auditoria: codex Relatório publicado mais recente
Nome da skill
taiwan-suspension
Versão
v1
Mantenedor
tahodev
Fonte
github.com/tahodev/baodao-skill/tree/3ce4b58e4525f5a66390e1236b6d38702790225a/taiwan-suspension
Cobertura
1 Arquivos analisados · 77 Linhas analisadas
Versão da política
skillstore-security-audit-policy-v1

Maior gravidade de descoberta confirmada

Médio

1 constatação de segurança confirmada requer atenção.

Contexto de instalação

Confira a página atual de Habilidades

Esta página resume apenas as evidências do relatório. A página da Skill fornece o aviso canônico de instalação.

Abra a página atual do Skill

Este relatório não bloqueia nem autoriza o manifesto ou o ZIP.

Ten static alerts are false positives involving Markdown, official URLs, HTML entity decoding, and multilingual text. Two temporary-file alerts expose local overwrite or tampering risks; an additional finding addresses stale announcements after failed downloads. No evidence found of prompt injection, credential collection, exfiltration, or hidden code execution.

Posição do relatório

Relatório publicado mais recente

Mais recente refere-se à sequência do relatório, não à atualidade do artefato.

Atestado de auditoria

Atestação ativa

Uma atestação pública está disponível para este relatório exato.

Verificação humana

Não verificado

Nenhuma verificação humana está registrada para este relatório.

Cobertura

1 Arquivos analisados · 77 Linhas analisadas

3 itens exibidos para revisão

Limitações

Este relatório não alega execução em runtime ou sandbox e não prova a ausência de efeitos colaterais.

Cadeia de evidências

Siga as evidências desde a vinculação à origem até o contrato de instalação. As evidências disponíveis oferecem suporte à verificação; não são uma garantia de segurança.

  1. Fonte

    Commit e caminho vinculados

  2. Artefato

    Hashes de conteúdo e árvore vinculados

  3. Auditoria

    Concluído

  4. Contrato de instalação

    Abra o manifesto para verificar

    Abra o manifesto

Recursos observados

Observado significa que este relatório registrou evidências de suporte. Não registrado não prova que uma capacidade está ausente.

Contém scripts

Pode executar código incluído com o Skill.

Não registrado por esta auditoria

Acesso à rede

Pode conectar-se a serviços externos.

Observado em 2 locais de evidência

Acesso ao sistema de arquivos

Pode ler ou gravar arquivos locais.

Observado em 2 locais de evidência

Variáveis de ambiente

Pode ler valores do ambiente do processo.

Não registrado por esta auditoria

Comandos externos

Pode invocar comandos ou programas fora do Skill.

Observado em 6 locais de evidência

Itens de revisão de capacidade (2)
Médio
SKILL.md:25
Temp directory access
curl -sm 30 -A 'Mozilla/5.0' 'https://www.dgpa.gov.tw/typh/daily/nds.html' -o /tmp/nds.html
curl writes to the predictable shared path /tmp/nds.html without private creation or symlink protection. A local attacker could redirect writes to files accessible to the executing user.
Médio
SKILL.md:34
Temp directory access
t = open('/tmp/nds.html', encoding='utf-8', errors='replace').read()
The parser reopens the same predictable temporary path without ownership or integrity checks. A local attacker could replace its contents and cause false suspension reports.

Descobertas de risco

As preocupações de segurança confirmadas são separadas dos itens que ainda precisam de revisão.

Preocupações de segurança confirmadas (1)

RISK-001 Médio
SKILL.md:25SKILL.md:34SKILL.md:62-64
Failed Downloads Can Reuse Stale Announcements
The curl example does not require success before parsing the existing file. An early download failure can leave old announcements available for a newly timestamped response.
The examples lack a download-status gate, while responses require a current query time. Prose warns about failures, but the executable workflow does not enforce freshness.

Medidas corretivas

As correções sugeridas foram registradas por esta auditoria. Aplicá-las é responsabilidade da pessoa responsável pela manutenção.

  1. FIX-001
    Médio
    A predictable shared temporary file permits symlink overwrites and local announcement tampering.
    Create a private temporary directory with restrictive permissions and pass its unique file path between download and parsing steps. Remove it afterward.
  2. FIX-002
    Médio
    The workflow can parse stale content after a failed download.
    Require successful curl completion and HTTP status before parsing a newly created file. On failure, report unavailable data and link the official source.

Evidência especializada

Identidade imutável do sujeito, metadados do scanner, correspondências descartadas e evidências no nível da origem.

Sujeito do artefato

Commit do Marketplace
2aab20a3878daa05021884e089a7dd7739e08581
Hash do conteúdo
e7ca528504460276a1ee3901c77ca1b03bdd56949e14dfef61d3e13431b4d21d
Hash da árvore
db787839a3bb1370db40663d2c12161dfe8dc9ca4251d7397093cb267ac91fdc
Caminho do Skill
skills/tahodev/taiwan-suspension
Hash da carga de auditoria
b65bb84744a69124456e11f3e4c93307

Metadados da análise

Modelo de auditoria: codex

Estado da análise: Concluído

O escopo limita-se aos arquivos, linhas, métodos e evidências registrados. Nenhuma execução em runtime ou sandbox é alegada.

Verificar e exportar

Relatório JSON Atestado de auditoria assinado CITATION.cff SARIF 2.1.0 Manifesto de instalação assinado Fonte

O manifesto e o arquivo de bloqueio vinculam os artefatos de instalação a hashes criptográficos. Esta alegação de integridade é separada da avaliação de segurança.

Atestado de auditoria: active