📦

form-testing

Name: form-testing
Author: CrazySwami

Ревизия содержимого r1 Высокий риск ⚙️ Внешние команды🌐 Доступ к сети📁 Доступ к файловой системе

Тестирование форм WordPress и доставки электронной почты

Командам WordPress нужны подтверждения, что формы отправляются корректно, а сообщения доходят до почтовых ящиков. Этот навык предоставляет проверки WP-CLI и curl для доставки электронной почты, настроек SMTP и поведения форм.

Поддерживает: Claude Codex Code(CC)

⚠️ 38 Плохо

Maintain this Skill? Claim it ⚠️ 38 Плохо

Остановитесь и запросите подтверждение перед установкой.

Проверьте план и получите явное согласие пользователя перед изменением файлов.

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "form-testing" from https://skillstore.io/skills/crazyswami-form-testing.md and its manifest at https://skillstore.io/api/skills/crazyswami-form-testing/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/crazyswami-form-testing.md Подписанный manifest GET /api/skills/crazyswami-form-testing/manifest Подписанный lockfile GET /api/skills/crazyswami-form-testing/lockfile

Протестировать

Использование «form-testing». Проверь доставку электронной почты в контейнере wordpress для ops@example.com.

Ожидаемый результат:

Результат: плагин SMTP активен. Тестовое сообщение отправлено одобренному получателю. Ошибка PHPMailer не сообщалась.

Использование «form-testing». Проверь форму на странице контактов перед запуском.

Ожидаемый результат:

Отчет: обязательные поля прошли валидацию, перенаправление подтверждено, письмо администратору получено, защиту nonce следует проверить.

Использование «form-testing». Устрани проблему отсутствующих писем из форм после миграции.

Ожидаемый результат:

Выводы: настройки SMTP неполные. Настройте одобренный mailer, отправьте новое тестовое сообщение и проверьте DNS-записи.

Аудит безопасности

Высокий риск

v8 • 06.07.2026 Открыть версионный отчет

Most SKILL.md backtick and URL findings are documentation false positives, and no prompt injection was found. The skill still has real shell, WP-CLI, SMTP inspection, and outbound email capabilities. High-risk issues remain in scripts/test-mail.sh because the recipient is unescaped in wp eval and defaults to an external email address.

Просканировано файлов

395

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (4)

Высокий

scripts/test-mail.sh:8 scripts/test-mail.sh:50-51

Unescaped Recipient In WP-CLI Eval

scripts/test-mail.sh inserts the recipient argument directly into PHP code passed to wp eval. A crafted value containing a quote can break out of the string and run PHP inside the WordPress container.

The script assigns TO_EMAIL from user input and interpolates it into a quoted PHP string inside wp eval without escaping. This is a direct code injection pattern.

Высокий

scripts/test-mail.sh:8 scripts/test-mail.sh:50-64

Hard-Coded External Test Recipient

The test email recipient defaults to admin@csrdevelopment.com. If the script runs without an explicit recipient, it sends site URL, PHP version, and WordPress version to that external address.

The default recipient is hard-coded, and the message body clearly includes site and version details before calling wp_mail. This is strong evidence of unintended outbound disclosure.

Средний

SKILL.md:179

System reconnaissance

docker exec wordpress wp db query "SELECT * FROM wp_wpmailsmtp_logs ORDER BY id DESC LIMIT 5"

The command queries WP Mail SMTP logs from the WordPress database. This is not host reconnaissance, but it can expose sensitive application email metadata.

Средний

SKILL.md:226-240

SMTP Credentials In Command-Line Example

SKILL.md shows SMTP username and password fields inside a wp option update command. Users who paste real values can expose secrets through shell history, process listings, or shared logs.

The credentials are placeholders, not leaked real secrets. The risk is still credible because the documented command pattern encourages placing live secrets on the command line.

Пункты проверки возможностей (40)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Средний

scripts/test-mail.sh:1

Unix shell invocation

#!/bin/bash

scripts/test-mail.sh is an executable Bash script that runs docker exec and wp eval. This is legitimate testing behavior, but it gives the skill external command capability.

Средний

scripts/test-mail.sh:18

Email sending capability

# Check if WP Mail SMTP is active

This line is part of the mail test script that checks WP Mail SMTP and later sends a real wp_mail message. The capability is intended, but it is an outbound email risk.

Средний

scripts/test-mail.sh:19

Email sending capability

echo "Checking WP Mail SMTP plugin..."

This line is part of the mail test script that checks WP Mail SMTP and later sends a real wp_mail message. The capability is intended, but it is an outbound email risk.

Средний

scripts/test-mail.sh:20

Email sending capability

if docker exec "$CONTAINER" wp plugin is-active wp-mail-smtp 2>/dev/null; then

This line is part of the mail test script that checks WP Mail SMTP and later sends a real wp_mail message. The capability is intended, but it is an outbound email risk.

Средний

scripts/test-mail.sh:21

Email sending capability

echo -e " \033[0;32m✓\033[0m WP Mail SMTP is active"

This line is part of the mail test script that checks WP Mail SMTP and later sends a real wp_mail message. The capability is intended, but it is an outbound email risk.

Средний

scripts/test-mail.sh:23

Email sending capability

echo -e " \033[0;33m⚠\033[0m WP Mail SMTP not active (using PHP mail)"

This line is part of the mail test script that checks WP Mail SMTP and later sends a real wp_mail message. The capability is intended, but it is an outbound email risk.

Средний

scripts/test-mail.sh:26

Email sending capability

# Get SMTP configuration

This line is part of the mail test script that checks WP Mail SMTP and later sends a real wp_mail message. The capability is intended, but it is an outbound email risk.

Средний

scripts/test-mail.sh:28

Email sending capability

echo "SMTP Configuration:"

This line is part of the mail test script that checks WP Mail SMTP and later sends a real wp_mail message. The capability is intended, but it is an outbound email risk.

Средний

scripts/test-mail.sh:30

Email sending capability

$options = get_option("wp_mail_smtp");

The script reads and prints WP Mail SMTP configuration from the target container. This exposes mail infrastructure details and supports a later real email send.

Средний

scripts/test-mail.sh:32

Email sending capability

if (!empty($options["smtp"]["host"])) {

The script reads and prints WP Mail SMTP configuration from the target container. This exposes mail infrastructure details and supports a later real email send.

Средний

scripts/test-mail.sh:33

Email sending capability

echo " Host: " . $options["smtp"]["host"] . "\n";

The script reads and prints WP Mail SMTP configuration from the target container. This exposes mail infrastructure details and supports a later real email send.

Средний

scripts/test-mail.sh:34

Email sending capability

echo " Port: " . $options["smtp"]["port"] . "\n";

The script reads and prints WP Mail SMTP configuration from the target container. This exposes mail infrastructure details and supports a later real email send.

Средний

scripts/test-mail.sh:35

Email sending capability

echo " Encryption: " . ($options["smtp"]["encryption"] ?: "none") . "\n";

The script reads and prints WP Mail SMTP configuration from the target container. This exposes mail infrastructure details and supports a later real email send.

Средний

scripts/test-mail.sh:36

Email sending capability

echo " Auth: " . ($options["smtp"]["auth"] ? "Yes" : "No") . "\n";

The script reads and prints WP Mail SMTP configuration from the target container. This exposes mail infrastructure details and supports a later real email send.

Средний

SKILL.md:115

Unix shell invocation

#!/bin/bash

SKILL.md embeds a Bash version of the test-mail script. It documents Docker and WP-CLI command execution, which is expected but still powerful.

Средний

SKILL.md:3

Email sending capability

description: Test WordPress form submissions and email delivery. Validates contact forms, checks WP

This line documents the skill intent to perform SMTP checks or email delivery tests. The capability is legitimate, but it is real outbound mail functionality.

Средний

SKILL.md:9

Email sending capability

Comprehensive form testing for WordPress sites - validates form submissions, email delivery, and SMT

This line documents the skill intent to perform SMTP checks or email delivery tests. The capability is legitimate, but it is real outbound mail functionality.

Средний

SKILL.md:14

Email sending capability

# Test WP Mail SMTP configuration

This line documents the skill intent to perform SMTP checks or email delivery tests. The capability is legitimate, but it is real outbound mail functionality.

Средний

SKILL.md:29

Email sending capability

- WP Mail SMTP plugin configuration

This line documents the skill intent to perform SMTP checks or email delivery tests. The capability is legitimate, but it is real outbound mail functionality.

Средний

SKILL.md:31

Email sending capability

- SMTP server connectivity

This line documents the skill intent to perform SMTP checks or email delivery tests. The capability is legitimate, but it is real outbound mail functionality.

Средний

SKILL.md:75

Email sending capability

### Method 2: Check SMTP Configuration

This line documents the skill intent to perform SMTP checks or email delivery tests. The capability is legitimate, but it is real outbound mail functionality.

Средний

SKILL.md:78

Email sending capability

# Check WP Mail SMTP options

This line documents the skill intent to perform SMTP checks or email delivery tests. The capability is legitimate, but it is real outbound mail functionality.

Средний

SKILL.md:79

Email sending capability

docker exec wordpress-container wp option get wp_mail_smtp --format=json | jq

The documented WP-CLI commands inspect WP Mail SMTP settings and can reveal mail infrastructure configuration. This is legitimate troubleshooting but sensitive.

Средний

SKILL.md:81

Email sending capability

# Check if SMTP is configured

This line documents the skill intent to perform SMTP checks or email delivery tests. The capability is legitimate, but it is real outbound mail functionality.

Средний

SKILL.md:83

Email sending capability

$options = get_option("wp_mail_smtp");

The documented WP-CLI commands inspect WP Mail SMTP settings and can reveal mail infrastructure configuration. This is legitimate troubleshooting but sensitive.

Средний

SKILL.md:84

Email sending capability

if (!empty($options["smtp"]["host"])) {

The documented WP-CLI commands inspect WP Mail SMTP settings and can reveal mail infrastructure configuration. This is legitimate troubleshooting but sensitive.

Средний

SKILL.md:85

Email sending capability

echo "SMTP Host: " . $options["smtp"]["host"] . "\n";

The documented WP-CLI commands inspect WP Mail SMTP settings and can reveal mail infrastructure configuration. This is legitimate troubleshooting but sensitive.

Средний

SKILL.md:86

Email sending capability

echo "SMTP Port: " . $options["smtp"]["port"] . "\n";

The documented WP-CLI commands inspect WP Mail SMTP settings and can reveal mail infrastructure configuration. This is legitimate troubleshooting but sensitive.

Средний

SKILL.md:87

Email sending capability

echo "SMTP Auth: " . ($options["smtp"]["auth"] ? "Yes" : "No") . "\n";

The documented WP-CLI commands inspect WP Mail SMTP settings and can reveal mail infrastructure configuration. This is legitimate troubleshooting but sensitive.

Средний

SKILL.md:88

Email sending capability

echo "Encryption: " . $options["smtp"]["encryption"] . "\n";

The documented WP-CLI commands inspect WP Mail SMTP settings and can reveal mail infrastructure configuration. This is legitimate troubleshooting but sensitive.

Средний

SKILL.md:90

Email sending capability

echo "SMTP not configured - using PHP mail()\n";

The documented WP-CLI commands inspect WP Mail SMTP settings and can reveal mail infrastructure configuration. This is legitimate troubleshooting but sensitive.

Средний

SKILL.md:165

Email sending capability

docker exec wordpress wp option get wp_mail_smtp --format=json

The documented WP-CLI commands inspect WP Mail SMTP settings and can reveal mail infrastructure configuration. This is legitimate troubleshooting but sensitive.

Средний

SKILL.md:179

Email sending capability

docker exec wordpress wp db query "SELECT * FROM wp_wpmailsmtp_logs ORDER BY id DESC LIMIT 5"

The documented database query reads recent WP Mail SMTP log records. Those logs can contain recipient and delivery metadata.

Средний

SKILL.md:225

Email sending capability

# Set up SMTP configuration

The documented WP-CLI command changes SMTP configuration and includes credential fields. This can affect outbound mail routing and expose secrets if copied directly.

Средний

SKILL.md:226

Email sending capability

docker exec wordpress wp option update wp_mail_smtp '{

The documented WP-CLI command changes SMTP configuration and includes credential fields. This can affect outbound mail routing and expose secrets if copied directly.

Средний

SKILL.md:230

Email sending capability

"mailer": "smtp"

The documented WP-CLI command changes SMTP configuration and includes credential fields. This can affect outbound mail routing and expose secrets if copied directly.

Средний

SKILL.md:232

Email sending capability

"smtp": {

The documented WP-CLI command changes SMTP configuration and includes credential fields. This can affect outbound mail routing and expose secrets if copied directly.

Средний

SKILL.md:233

Email sending capability

"host": "smtp.example.com",

The documented WP-CLI command changes SMTP configuration and includes credential fields. This can affect outbound mail routing and expose secrets if copied directly.

Средний

SKILL.md:237

Email sending capability

"user": "smtp-user",

The documented WP-CLI command changes SMTP configuration and includes credential fields. This can affect outbound mail routing and expose secrets if copied directly.

Средний

SKILL.md:238

Email sending capability

"pass": "smtp-password"

The documented WP-CLI command changes SMTP configuration and includes credential fields. This can affect outbound mail routing and expose secrets if copied directly.

Факторы риска

⚙️ Внешние команды (37)

🌐 Доступ к сети (55)

📁 Доступ к файловой системе (6)

scripts/test-mail.sh:20 scripts/test-mail.sh:45 SKILL.md:15 SKILL.md:18 SKILL.md:21 SKILL.md:192

Обнаруженные паттерны

System reconnaissance

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/crazyswami-form-testing/audits/8?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/crazyswami-form-testing/security.svg)](https://skillstore.io/skills/crazyswami-form-testing?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/crazyswami-form-testing?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/crazyswami-form-testing/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/crazyswami-form-testing.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

CrazySwami. (2026). form-testing security audit report (audit version 8) [Author version unspecified]. Skillstore. https://skillstore.io/skills/crazyswami-form-testing/audits/8

Цитата BibTeX

@techreport{crazyswami-crazyswami-form-testing-2026,
  author = {CrazySwami},
  title = {form-testing security audit report (audit version 8)},
  institution = {Skillstore},
  year = {2026},
  number = {8},
  url = {https://skillstore.io/skills/crazyswami-form-testing/audits/8},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "form-testing security audit report (audit version 8)"
version: "unspecified"
type: report
authors:
  - name: "CrazySwami"
date-released: "2026-07-06"
url: "https://skillstore.io/skills/crazyswami-form-testing/audits/8"
identifiers:
  - type: other
    value: "skillstore:crazyswami-form-testing:audit:8"
    description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Средний

Архитектура

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Проверка доставки электронной почты сайта

Проверьте статус плагина SMTP и отправьте контролируемое тестовое сообщение после миграции или запуска.

Тестирование поведения контактной формы

Отправьте известную полезную нагрузку формы и подтвердите перенаправления, валидацию и получение письма администратором.

Аудит базовой безопасности форм

Проверьте использование nonce, санитизацию ввода, обработку reply-to и безопасность заголовков электронной почты.

Попробуйте эти промпты

Проверить настройку электронной почты

Проверь статус WP Mail SMTP для моего контейнера WordPress с именем [container]. Пока не отправляй электронную почту.

Отправить тестовое сообщение

Отправь одно тестовое письмо WordPress из [container] на [approved address]. Кратко опиши результат и любую ошибку mailer.

Проверить контактную форму

Протестируй контактную форму по адресу [authorized URL] с безопасными тестовыми данными. Сообщи о валидации, перенаправлениях и проверках доставки.

Запустить полный аудит форм

Проведи аудит форм на [authorized site]. Проверь SMTP, протестируй доставку, проверь поведение nonce и подготовь приоритетные шаги по устранению проблем.

Лучшие практики

Запускайте тесты только на сайтах и контейнерах, к которым у вас есть авторизованный доступ.
Используйте явно указанного одобренного получателя для каждого теста электронной почты.
Скрывайте сведения SMTP перед публикацией отчетов или тикетов.

Избегать

Не тестируйте формы на сторонних сайтах без разрешения.
Не полагайтесь на адреса получателей по умолчанию для тестов доставки.
Не вставляйте реальные пароли SMTP в prompts или публичные трекеры задач.

Часто задаваемые вопросы

Отправляет ли этот навык реальную электронную почту?

Да. Тестовый скрипт может отправить реальное письмо WordPress выбранному получателю.

Какой доступ требуется?

Вам нужен доступ к shell, Docker и WP-CLI для контейнера WordPress.

Может ли он тестировать любой плагин контактных форм?

Он предоставляет общие шаги curl и аудита, но в некоторых примерах используются имена полей темы CSR.

Проверяет ли он получение письма во входящих автоматически?

Нет. Он отправляет тестовые сообщения и сообщает об ошибках WordPress. Человек все равно проверяет почтовый ящик.

Безопасно ли это для production?

Используйте его осторожно с одобренными получателями. При тестировании поведения форм предпочтительно использовать staging.

Хранит ли он учетные данные SMTP?

Примеры показывают конфигурацию SMTP WordPress. Реальные учетные данные следует обрабатывать вне prompts и логов.

Сведения для разработчиков

Автор

CrazySwami

Лицензия

MIT

Ревизия Skillstore

Примечание о версии

Автор не указал версию.

Репозиторий

https://github.com/CrazySwami/wordpress-dev-skills/tree/main/skills/form-testing

Ссылка

d11af420e07cd866fe39cfa937efef3223896c06

Актуальность поддержки

24.07.2026

Использование

6 загрузок · 167 просмотров

Структура файлов

📁 scripts/

📄 test-mail.sh

📄 SKILL.md