Este relatório não está traduzido para o idioma solicitado. O relatório canônico em inglês é exibido no lugar.

Avaliação de segurança versionada

ID do relatório: SA-E406BF64

10/10/2026, 2:10:03 PM

vibestart avaliação de segurança v1

Relatório de Certificação de Segurança da Skill

Histórico de auditoria
Versão do scanner 3.0.0 Modelo de auditoria: codex Relatório publicado mais recente
Nome da skill
vibestart
Versão
v1
Mantenedor
vinkydev
Fonte
github.com/vinkydev/vibestart/tree/b7f503159fb68dd3e3d5c2c4d9b85d4e13baae13/skills/vibestart
Cobertura
3 Arquivos analisados · 172 Linhas analisadas
Versão da política
skillstore-security-audit-policy-v1

Maior gravidade de descoberta confirmada

Médio

1 constatação de segurança confirmada requer atenção.

Contexto de instalação

Confira a página atual de Habilidades

Esta página resume apenas as evidências do relatório. A página da Skill fornece o aviso canônico de instalação.

Abra a página atual do Skill

Este relatório não bloqueia nem autoriza o manifesto ou o ZIP.

Ten detections are false positives involving Markdown or ordinary project workflows; six describe commands that fetch and execute an unpinned npm package. Broad rollback instructions can discard unrelated edits and delete untracked files created after the operation starts. No evidence found of prompt injection, credential theft, or malicious exfiltration in the reviewed skill files; external package implementation was not available.

Posição do relatório

Relatório publicado mais recente

Mais recente refere-se à sequência do relatório, não à atualidade do artefato.

Atestado de auditoria

Atestação ativa

Uma atestação pública está disponível para este relatório exato.

Verificação humana

Não verificado

Nenhuma verificação humana está registrada para este relatório.

Cobertura

3 Arquivos analisados · 172 Linhas analisadas

7 itens exibidos para revisão

Limitações

Este relatório não alega execução em runtime ou sandbox e não prova a ausência de efeitos colaterais.

Cadeia de evidências

Siga as evidências desde a vinculação à origem até o contrato de instalação. As evidências disponíveis oferecem suporte à verificação; não são uma garantia de segurança.

  1. Fonte

    Commit e caminho vinculados

  2. Artefato

    Hashes de conteúdo e árvore vinculados

  3. Auditoria

    Concluído

  4. Contrato de instalação

    Abra o manifesto para verificar

    Abra o manifesto

Recursos observados

Observado significa que este relatório registrou evidências de suporte. Não registrado não prova que uma capacidade está ausente.

Contém scripts

Pode executar código incluído com o Skill.

Não registrado por esta auditoria

Acesso à rede

Pode conectar-se a serviços externos.

Não registrado por esta auditoria

Acesso ao sistema de arquivos

Pode ler ou gravar arquivos locais.

Não registrado por esta auditoria

Variáveis de ambiente

Pode ler valores do ambiente do processo.

Não registrado por esta auditoria

Comandos externos

Pode invocar comandos ou programas fora do Skill.

Observado em 15 locais de evidência

Itens de revisão de capacidade (6)
Médio
SKILL.md:13
Ruby/shell backtick execution
2. Run the CLI from npm with `npx --yes vibestart-cli` (or `pnpm dlx vibestart-cli`); a global insta
The launcher fetches and executes an unpinned npm package, with npx automatically approving installation. Later preview/application pinning does not protect this initial invocation.
Médio
SKILL.md:15
Ruby/shell backtick execution
4. Read `npx --yes vibestart-cli --help` for creation or `npx --yes vibestart-cli COMMAND --help` fo
The help commands invoke the unpinned npm launcher with automatic installation approval. Help inspection still executes external package code before its trust is established.
Médio
SKILL.md:23
Ruby/shell backtick execution
| Create a project or use a recipe | `npx --yes vibestart-cli --list --json`
Stack discovery invokes an unpinned npm package through npx with automatic installation approval. Listing output does not eliminate the external code execution risk.
Médio
SKILL.md:24
Ruby/shell backtick execution
| Add a capability | `npx --yes vibestart-cli add --list --json`
Capability discovery invokes an unpinned npm package with automatic installation approval. Even a read-only capability list executes the downloaded CLI code.
Médio
SKILL.md:25
Ruby/shell backtick execution
| Diagnose an existing project | `npx --yes vibestart-cli doctor --offline --js
The doctor command uses an unpinned npx launcher with automatic installation approval. Its offline flag controls diagnostics, not the launcher's package download or execution.
Médio
SKILL.md:26
Ruby/shell backtick execution
| Update a generated project | `npx --yes vibestart-cli upgrade --dry-run --j
The upgrade preview invokes an unpinned npm launcher with automatic installation approval. Preview/application pinning is advised elsewhere, but this example still exposes external package execution.

Descobertas de risco

As preocupações de segurança confirmadas são separadas dos itens que ainda precisam de revisão.

Preocupações de segurança confirmadas (1)

RISK-001 Médio
references/maintenance.md:47-53
Broad Rollback Can Delete Unrelated Project Work
The abandonment guidance uses `git restore . && git clean -fd`. It can discard unrelated tracked edits and permanently delete untracked files added after the operation.
The reference provides a blanket destructive rollback without a deletion preview or change ownership check. A clean starting worktree does not protect later additions.

Medidas corretivas

As correções sugeridas foram registradas por esta auditoria. Aplicá-las é responsabilidade da pessoa responsável pela manutenção.

  1. FIX-001
    Médio
    Discovery and help commands execute an unpinned npm package with automatic installation approval.
    Use an explicitly approved exact CLI version for discovery, help, previews, and writes; disclose registry access and execution before the first invocation.
  2. FIX-002
    Médio
    Rollback instructions restore all tracked files and delete untracked files without checking for new unrelated work.
    Replace blanket rollback with operation-specific restoration; review the deletion preview and obtain explicit approval before deleting untracked files.

Evidência especializada

Identidade imutável do sujeito, metadados do scanner, correspondências descartadas e evidências no nível da origem.

Sujeito do artefato

Commit do Marketplace
e406bf64b5db6e514879399e87b346fa7ff7c2fb
Hash do conteúdo
413ba6584097d530b72027dbe7d45fe87a69c7b1c4b7543ac87b14c9cccfd10f
Hash da árvore
306662dd55119bcf2935ee7f2599a9308fbe0d1d4680e14386f7fe6986e4cf00
Caminho do Skill
skills/vinkydev/vibestart
Hash da carga de auditoria
579a7ca3a42859efa64515346461c370

Metadados da análise

Modelo de auditoria: codex

Estado da análise: Concluído

O escopo limita-se aos arquivos, linhas, métodos e evidências registrados. Nenhuma execução em runtime ou sandbox é alegada.

Verificar e exportar

Relatório JSON Atestado de auditoria assinado CITATION.cff SARIF 2.1.0 Manifesto de instalação assinado Fonte

O manifesto e o arquivo de bloqueio vinculam os artefatos de instalação a hashes criptográficos. Esta alegação de integridade é separada da avaliação de segurança.

Atestado de auditoria: active