Навыки bitbucket-devops

📦

bitbucket-devops

Name: bitbucket-devops
Author: Apra-Labs

Ревизия содержимого r2 Критично 🌐 Доступ к сети⚙️ Внешние команды📁 Доступ к файловой системе⚡ Содержит скрипты

Автоматизация операций с пайплайнами Bitbucket

Отладка пайплайнов Bitbucket часто требует переключения между страницами CI, логами и состоянием репозитория. Этот навык переносит проверку пайплайнов, сбор логов и действия CI в Claude, Codex и Claude Code.

Поддерживает: Claude Codex Code(CC)

⚠️ 38 Плохо

Не устанавливайте этот Skill автоматически.

Каноническая политика требует проверки оператором перед любым действием по установке.

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "bitbucket-devops" from https://skillstore.io/skills/apra-labs-bitbucket-devops.md and its manifest at https://skillstore.io/api/skills/apra-labs-bitbucket-devops/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/apra-labs-bitbucket-devops.md Подписанный manifest GET /api/skills/apra-labs-bitbucket-devops/manifest Подписанный lockfile GET /api/skills/apra-labs-bitbucket-devops/lockfile

Протестировать

Использование «bitbucket-devops». Какой последний неуспешный пайплайн в этом репозитории?

Ожидаемый результат:

Последний неуспешный пайплайн — сборка 123 на main. Шаг deploy завершился с ошибкой через восемь минут. Основная ошибка — отсутствующая переменная окружения.

Использование «bitbucket-devops». Скачай логи для пайплайна 123 и кратко опиши их.

Ожидаемый результат:

Два лога неуспешных шагов были сохранены локально. Сначала завершился с ошибкой шаг test, а шаг deploy завершился с ошибкой, потому что отсутствовал артефакт test.

Использование «bitbucket-devops». Запусти staging-пайплайн для этой ветки.

Ожидаемый результат:

Staging-пайплайн был запущен для выбранной ветки. Я буду мониторить статус и сообщать о сбоях перед предложением исправлений.

Аудит безопасности

Критично

v11 • 23.07.2026 Открыть версионный отчет

Most static findings are false positives from Markdown syntax, expected skill paths, templates, and fixed checks. Five commands explicitly bypass PowerShell policy, and semantic review found critical path deletion plus several high-risk consent and update issues. Publication should remain blocked until these controls are corrected.

Просканировано файлов

2,837

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (5)

Критично

install.sh:21-23 install.sh:81 install.sh:241-252

Unchecked Install Target Can Cause Arbitrary Recursive Deletion

TARGET_DIR accepts any environment-provided path. When that directory exists, the installer passes it directly to rm -rf without rejecting root, home, or unrelated directories.

The input path and recursive deletion are directly connected with no canonicalization, allowlist, or dangerous-target guard.

Высокий

SKILL.md:13 SKILL.md:461-472 CHANGELOG.md:123-155

Approval Controls Are Intentionally Avoided

The skill promotes direct shell execution because Bash is auto-approved and states that this architecture eliminates approval prompts. This weakens user oversight for privileged Bitbucket actions.

The documentation repeatedly describes avoidance of approval prompts as an architectural goal and benefit.

Высокий

SKILL.md:41-45 SKILL.md:85-94 SKILL.md:124-140

Destructive Bitbucket Operations Lack a Required Consent Gate

The skill exposes stop, merge, decline, delete, and deployment-write commands. Its mandatory decision process requires tool selection but does not require user confirmation before changes.

The documented command inventory contains destructive operations, while the required workflow has no consent step for write actions.

Высокий

SKILL.md:47-50 README.md:413-427

Self-Update Executes Code From a Mutable Branch

The confirmed self-update path pulls or clones the repository main branch, rebuilds dependencies, and reruns installation. A literal confirm argument does not pin reviewed code.

The documentation explicitly states that self-update fetches main and rebuilds or reruns the installer, creating a mutable remote-code execution path.

Средний

SKILL.md:409-428 README.md:282-289

Pipeline Logs Persist in Project Directories

Downloaded pipeline logs remain under .pipeline-logs in the working project. Build logs can contain secrets, and ignore rules do not protect local disclosure or retention.

Persistent local storage is explicitly documented, while only version-control exclusion is recommended and no cleanup or redaction is required.

Пункты проверки возможностей (5)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Высокий

CHANGELOG.md:184

PowerShell invocation

powershell -ExecutionPolicy Bypass -File install.ps1

This documented command disables PowerShell execution-policy enforcement and runs the installer. The installer writes files, installs dependencies, and can recursively replace its target directory.

Высокий

README.md:19

PowerShell invocation

On Windows: `powershell -ExecutionPolicy Bypass -File install.ps1 -Llm agy` (see [Installation](#ins

This command explicitly uses ExecutionPolicy Bypass before running the installer. That removes a host protection from code that installs dependencies and changes local files.

Высокий

README.md:171

PowerShell invocation

powershell -ExecutionPolicy Bypass -File install.ps1

This command explicitly uses ExecutionPolicy Bypass before running the installer. That removes a host protection from code that installs dependencies and changes local files.

Высокий

README.md:172

PowerShell invocation

powershell -ExecutionPolicy Bypass -File install.ps1 -Llm agy

This command explicitly uses ExecutionPolicy Bypass before running the installer. That removes a host protection from code that installs dependencies and changes local files.

Высокий

README.md:173

PowerShell invocation

powershell -ExecutionPolicy Bypass -File install.ps1 -Llm opencode

This command explicitly uses ExecutionPolicy Bypass before running the installer. That removes a host protection from code that installs dependencies and changes local files.

Факторы риска

🌐 Доступ к сети (37)

⚙️ Внешние команды (50)

📁 Доступ к файловой системе (50)

⚡ Содержит скрипты (1)

smoke-test.sh:92

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/apra-labs-bitbucket-devops/audits/11?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/apra-labs-bitbucket-devops/security.svg)](https://skillstore.io/skills/apra-labs-bitbucket-devops?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/apra-labs-bitbucket-devops?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/apra-labs-bitbucket-devops/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/apra-labs-bitbucket-devops.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

Apra-Labs. (2026). bitbucket-devops security audit report (audit version 11) [Author version unspecified]. Skillstore. https://skillstore.io/skills/apra-labs-bitbucket-devops/audits/11

Цитата BibTeX

@techreport{apra-labs-apra-labs-bitbucket-devops-2026,
  author = {Apra-Labs},
  title = {bitbucket-devops security audit report (audit version 11)},
  institution = {Skillstore},
  year = {2026},
  number = {11},
  url = {https://skillstore.io/skills/apra-labs-bitbucket-devops/audits/11},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "bitbucket-devops security audit report (audit version 11)"
version: "unspecified"
type: report
authors:
  - name: "Apra-Labs"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/apra-labs-bitbucket-devops/audits/11"
identifiers:
  - type: other
    value: "skillstore:apra-labs-bitbucket-devops:audit:11"
    description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Средний

Архитектура

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Отладка неуспешных сборок

Найдите последний неуспешный пайплайн Bitbucket, скачайте логи неуспешных шагов и определите вероятные причины прямо в сеансе разработки.

Мониторинг релизных пайплайнов

Проверяйте текущий статус пайплайна, просматривайте выполняющиеся шаги и останавливайте или перезапускайте сборки, когда валидация релиза требует внимания.

Проверка рабочего процесса репозитория

Используйте контекст пайплайнов Bitbucket и pull request, чтобы понимать сбои, согласования и готовность к слиянию перед развертыванием.

Попробуйте эти промпты

Проверить последний пайплайн

Проверь последний пайплайн Bitbucket для этого репозитория. Сообщи мне статус, ветку, коммит и номер сборки.

Найти логи неуспешной сборки

Найди последний неуспешный пайплайн Bitbucket, скачай логи неуспешных шагов и кратко опиши первые ошибки, которые мне нужно исправить.

Мониторить выполняющуюся сборку

Мониторь текущий пайплайн Bitbucket до его завершения. Сообщай о выполняющихся шагах, завершенных шагах и любых признаках сбоя.

Запустить цикл отладки

Диагностируй падающий пайплайн Bitbucket, предложи минимальное исправление и запусти новый пайплайн после моего одобрения изменения.

Лучшие практики

Используйте Bitbucket app password с минимальными scopes репозитория и пайплайна, которые необходимы.
Подтверждайте workspace, репозиторий, ветку и идентификаторы пайплайна перед выполнением действий записи.
Добавьте .pipeline-logs и файлы учетных данных в .gitignore перед скачиванием логов или хранением секретов.

Избегать

Не используйте учетные данные production, когда достаточно проверки пайплайна только для чтения.
Не запускайте действия записи для пайплайнов без подтверждения целевой ветки и репозитория.
Не вставляйте недоверенные значения workspace, репозитория, ветки или UUID во вспомогательные команды.

Часто задаваемые вопросы

Требует ли этот навык учетные данные Bitbucket?

Да. Для работы API-вызовов нужен Bitbucket app password, сохраненный в поддерживаемом файле учетных данных.

Может ли он скачивать артефакты пайплайна?

Нет. Включенная документация указывает, что Bitbucket Cloud не предоставляет API для скачивания артефактов.

Может ли он изменять состояние пайплайна?

Да. При наличии достаточных scopes он может запускать и останавливать пайплайны через встроенные CLI-помощники.

Где хранятся логи неуспешных шагов?

Логи неуспешных шагов записываются в локальный каталог .pipeline-logs в текущем рабочем каталоге.

Какие меры предосторожности должны принимать пользователи?

Пользователям следует проверять команды оболочки, защищать учетные данные и подтверждать целевые репозитории перед выполнением действий записи для пайплайнов.

Какие AI-инструменты поддерживаются?

В отчете указана поддержка Claude, Codex и Claude Code.