📦

cold-offer

Name: cold-offer
Author: cmj-hub

Ревизия содержимого r1 Высокий риск 🌐 Доступ к сети⚙️ Внешние команды📁 Доступ к файловой системе🔑 Переменные окружения⚡ Содержит скрипты

Draft Cold Offers Around Concrete Findings

Cold outreach often asks for a purchase before showing useful work. This skill structures a finding, a small solution sample, and a first email with local draft checks.

Поддерживает: Claude Codex Code(CC)

⚠️ 38 Плохо

Maintain this Skill? Claim it ⚠️ 38 Плохо

Остановитесь и запросите подтверждение перед установкой.

Проверьте план и получите явное согласие пользователя перед изменением файлов.

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "cold-offer" from https://skillstore.io/skills/cmj-hub-cold-offer.md and its manifest at https://skillstore.io/api/skills/cmj-hub-cold-offer/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/cmj-hub-cold-offer.md Подписанный manifest GET /api/skills/cmj-hub-cold-offer/manifest Подписанный lockfile GET /api/skills/cmj-hub-cold-offer/lockfile

Протестировать

Использование «cold-offer». Draft an offer about a homepage requesting meetings before showing any work.

Ожидаемый результат:

Finding: Your homepage asks for a meeting before showing a work sample.
Prototype: A one-page sample that presents the finding and a short trial first.
First email: Your homepage asks for a meeting before showing any work. I prepared a one-page alternative. May I share the full report?

Использование «cold-offer». Check a complete draft whose first email says: Buy our retainer.

Ожидаемый результат:

Result: Rejected because the first email contains a configured paid-product pitch phrase.
Revision: Share the specific finding and the prepared sample instead of asking for a purchase.

Использование «cold-offer». Check a draft with a finding and first email but no prototype.

Ожидаемый результат:

Result: Draft is incomplete.
Revision: Add a nonempty prototype description before checking again.

Аудит безопасности

Высокий риск

v1 • 03.10.2026 Открыть версионный отчет

Most static findings are harmless documentation, CSS, encoding markers, or legitimate local tooling. Confirmed risks affect optional asset renderers: unsafe HTML insertion, inline script serialization, CSS interpolation, and unconditional frame directory deletion. No evidence found of prompt injection, credential theft, or malicious exfiltration; the Python scorer performs local validation without network access.

Просканировано файлов

701

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (2)

Высокий

assets/demo.mjs:13-14 assets/demo.mjs:67-68

Inline Script Breakout Through Specification Data

The demo renderer embeds JSON.stringify output directly in a script element. Supplied strings containing a closing script tag can terminate it and inject executable markup.

JSON.stringify does not escape HTML script terminators. The browser parses these serialized values inside an executable script element before DOM insertion.

Высокий

assets/card.mjs:17 assets/card.mjs:25-37 assets/demo.mjs:12 assets/demo.mjs:17-25

Unchecked Color Value Can Escape Style Elements

Both renderers interpolate supplied accent_color values directly into style elements. A crafted value can close the style element and introduce scripts or external resources.

Neither renderer validates accent_color before HTML interpolation. Text escaping elsewhere does not protect this separate style-element context.

Пункты проверки возможностей (3)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Высокий

assets/demo.mjs:90

innerHTML assignment (XSS risk)

document.getElementById('lines').innerHTML = h;

Response lines from the supplied specification are concatenated into HTML without escaping. Malicious markup can execute browser event handlers during rendering.

Высокий

assets/demo.mjs:91

innerHTML assignment (XSS risk)

document.getElementById('artwrap').innerHTML = (ART && t>=T_ART)

Artifact labels and lines from the specification are inserted as unescaped HTML. Crafted tags can execute browser scripts or initiate unwanted requests.

Средний

assets/demo.mjs:4

Synchronous file operations

import { readFileSync, writeFileSync, mkdirSync, rmSync } from 'node:fs';

The imported rmSync recursively deletes the output-derived frames directory at lines 102 and 119. Existing contents are removed without an ownership check.

Факторы риска

🌐 Доступ к сети (6)

.claude-plugin/plugin.json:9 assets/card.mjs:22 assets/card.mjs:23 assets/card.mjs:24 assets/demo.mjs:16 CONTRIBUTING.md:32

⚙️ Внешние команды (18)

assets/card.mjs:4 assets/card.mjs:97 assets/card.mjs:21-65 assets/card.mjs:65-66 assets/card.mjs:66-87 assets/card.mjs:95 assets/card.mjs:99 assets/card.mjs:101 assets/card.mjs:107 assets/demo.mjs:5 assets/demo.mjs:116 assets/demo.mjs:15-97 SKILL.md:33 SKILL.md:41-44 SKILL.md:44-48 SKILL.md:48 SKILL.md:54-60 tests/test_score.py:14

📁 Доступ к файловой системе (7)

assets/card.mjs:3 assets/card.mjs:92 assets/card.mjs:96 assets/demo.mjs:4 assets/demo.mjs:100 assets/demo.mjs:103 assets/demo.mjs:39

🔑 Переменные окружения (2)

assets/card.mjs:7 assets/card.mjs:7

⚡ Содержит скрипты (2)

assets/demo.mjs:90 assets/demo.mjs:91

Аудитор:: codex

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/cmj-hub-cold-offer/audits/1?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/cmj-hub-cold-offer/security.svg)](https://skillstore.io/skills/cmj-hub-cold-offer?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/cmj-hub-cold-offer?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/cmj-hub-cold-offer/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/cmj-hub-cold-offer.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

cmj-hub. (2026). cold-offer security audit report (audit version 1) [Author version unspecified]. Skillstore. https://skillstore.io/skills/cmj-hub-cold-offer/audits/1

Цитата BibTeX

@techreport{cmj-hub-cmj-hub-cold-offer-2026,
  author = {cmj-hub},
  title = {cold-offer security audit report (audit version 1)},
  institution = {Skillstore},
  year = {2026},
  number = {1},
  url = {https://skillstore.io/skills/cmj-hub-cold-offer/audits/1},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "cold-offer security audit report (audit version 1)"
version: "unspecified"
type: report
authors:
  - name: "cmj-hub"
date-released: "2026-10-03"
url: "https://skillstore.io/skills/cmj-hub-cold-offer/audits/1"
identifiers:
  - type: other
    value: "skillstore:cmj-hub-cold-offer:audit:1"
    description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Средний

Архитектура

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Founder Outreach

Draft a first email that shares a specific public-page observation and a small sample instead of requesting a demo.

Consulting Offer Preparation

Package a verified business finding with a limited solution sample before discussing a larger paid engagement.

Team Draft Review

Check draft completeness and configured pitch phrases before a human reviews the message for sending.

Попробуйте эти промпты

Draft a First Offer

Draft a cold offer from this verified observation: [finding]. Include a finding, a small solution sample, and a first email without a product pitch.

Rewrite a Pitch

Rewrite this email: [draft]. Lead with [verified finding], name [prepared sample], and remove purchase requests, meeting requests, and demo invitations.

Validate a Draft

Review my draft at [local path]. Use the local scorer to check required fields and pitch phrases, then suggest revisions without sending anything.

Prepare and Review Variants

Create three offer variants from [verified finding] and [prepared sample]. Compare clarity, validate each locally, and explain limitations of the phrase checks.

Лучшие практики

Use verified public observations and describe only samples you have actually prepared.
Review scorer results manually because fixed phrase checks can reject harmless text or miss sales pitches.
Keep the core drafting workflow separate from optional asset renderers until their security issues are fixed.

Избегать

Inventing recipient problems or claiming unfinished work is already available.
Treating a successful scorer result as proof of accuracy, compliance, or effective outreach.
Passing untrusted specifications to the optional renderers or reusing directories containing important files.

Часто задаваемые вопросы

Which assistants can use this skill?

The marketplace lists Claude, Codex, and Claude Code. Running the local scorer requires Python 3.

Does the skill send the email?

No. It guides drafting and checks local input. You review and send the message through your own email tools.

What does the leak section mean?

It means a concrete business issue observed on a public page or product. It does not mean private or stolen information.

What does the scorer check?

It requires three nonempty text fields and rejects configured pitch phrases in the first email. It does not verify facts or assess writing quality.

Does this require paid APIs or network access?

The Python scorer uses the standard library and no network. Optional asset renderers use browser tools, external fonts, and additional dependencies.

Are the optional asset renderers safe for untrusted input?

No. They have HTML, script, and style injection risks. The GIF renderer also deletes an output-derived frame directory without checking ownership.

Сведения для разработчиков

Автор

cmj-hub

Лицензия

MIT

Ревизия Skillstore

Примечание о версии

Автор не указал версию.

Репозиторий

https://github.com/cmj-hub/claude-sales-offer/tree/255af7a52a62b870db76e1fc8571632e52bef8ac/

Ссылка

b7aef1c6bd7163cd11ce6f49e1db1c8ee1deebba

Актуальность поддержки

03.10.2026

Использование

0 загрузок · 0 просмотров

Структура файлов

📁 .claude-plugin/

📄 plugin.json

📄 .gitignore

📁 assets/

📄 card.mjs

📄 demo.gif

📄 demo.mjs

📄 header.png

📄 lockup.png

📄 social-lockup.png

📄 social-preview.png

📄 spec.json

📄 CONTRIBUTING.md

📁 examples/

📄 offer-good.json

📄 offer-sells.json

📄 LICENSE

📄 README.md

📁 scripts/

📄 score.py

📄 SKILL.md

📁 tests/

📄 test_score.py

Больше от cmj-hub

Показать все

📦

pricing-reference-frames

Build Credible Pricing Anchors

Pricing copy can emphasize competitor discounts instead of the buyer's actual costs. This skill selects a credible reference frame and drafts quantified copy with bounded guarantees.

Письмо и контент Просмотр

📦

indexability

Record a Single-URL Indexability Check

A page needs fetchability and listing evidence before its citation potential can be assessed. This skill organizes a single-URL checklist covering status, robots, sitemap, and scoring validation.

DevOps и инфраструктура Просмотр

📦

cold-email-craft

Craft Signal-Anchored Cold Emails

Generic outreach is easy to ignore and difficult to validate. This skill turns a recent public signal into concise, specific outreach with a binary call to action.

Коммуникация Просмотр

📦

psp-construct

Build Evidence-Based Pain Signal Profiles

Broad customer segments and generic messaging make operational pain difficult to identify. This skill guides structured research linking recent signals, pain, timing, roles, and recipient vocabulary.

Исследования и обучение Просмотр

📦

pricing-value-metric

Choose a Value Metric That Scales

Many B2B companies charge by a unit that does not track customer success, creating margin leakage, gaming, or expansion limits. This skill compares pricing units against four criteria and recommends a defensible hold or metric shift.

Продуктивность Просмотр

📦

founder-content

Write Stronger Founder LinkedIn Posts

Founders often have useful experience but struggle to turn it into specific, credible LinkedIn posts. This skill structures one post around a clear pillar, hook, receipt, and founder voice.

Письмо и контент Просмотр

Показать все

📦

cold-email

Пишите сфокусированные холодные письма

от humanizerai

Холодный аутрич часто звучит шаблонно и просит слишком многого. Этот навык помогает Claude, Codex и Claude Code составлять краткие, персонализированные письма с одним четким призывом к действию.

Коммуникация Просмотр

📦

nex-cold-mail-1-template

Draft Dutch Demo-First Outreach Emails

от nexaiguy

Generic cold emails can struggle to connect with Dutch-speaking SME owners. This guide outlines a website-audit hook, a demo offer, and an opt-out.

Коммуникация Просмотр

📦

post-show-followup

Написание кампаний для последующей коммуникации после выставки

от LensmorOfficial

Команды после выставок часто теряют квалифицированных лидов, потому что последующая коммуникация запаздывает, остается слишком общей или плохо сегментирована. Этот навык создает многоуровневые email-последовательности, заполнители, готовые для CRM, и расписание отправки для лидов с мероприятий.

Коммуникация Просмотр

📦

ppxc-find-customers

Поиск потенциальных клиентов в комментариях к видео

от yuanjian068yuan

Поиск квалифицированных покупателей в комментариях к коротким видео занимает много времени и часто дает нестабильные результаты. Этот навык помогает выстраивать рабочие процессы PPXC для подбора ключевых слов, проверки лидов и подготовки к коммуникации.

Коммуникация Просмотр

📦

timetopost-social-scheduler

Draft and Schedule Social Posts with TimeToPost

от melmayssonowen

Managing platform-specific posts requires consistent wording, account selection, and approval. This skill guides TimeToPost MCP drafting, timing recommendations, and scheduling after explicit user approval.

Коммуникация Просмотр

📦

launch

Plan a Product Launch That Builds Momentum

от coreyhaines31

Launch planning becomes difficult when teams lack a clear sequence, audience strategy, and readiness criteria. This skill creates a phased plan from validation through post-launch adoption.

Коммуникация Просмотр

cold-offer

Установить с помощью моего Агента

Ресурсы для AI-агентов

Протестировать

Аудит безопасности

Подтверждённые проблемы безопасности (2)

Факторы риска

Копировать ссылку на отчёт

Значок Markdown

Значок HTML

Встраиваемая карточка

Цитата APA

Цитата BibTeX

CITATION.cff

Оценка Skillstore

Что вы можете построить

Founder Outreach

Consulting Offer Preparation

Team Draft Review

Попробуйте эти промпты

Лучшие практики

Избегать

Часто задаваемые вопросы

Сведения для разработчиков

Больше от cmj-hub

pricing-reference-frames

indexability

cold-email-craft

psp-construct

pricing-value-metric

founder-content

Связанные навыки

cold-email

nex-cold-mail-1-template

post-show-followup

ppxc-find-customers

timetopost-social-scheduler

launch