Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-D453BFBA

10/29/2026, 4:55:45 AM

socialdatax-media-save-organizer оценка безопасности v3

Отчёт о сертификации безопасности навыка

История аудитов
Версия сканера 3.0.0 Модель аудита: codex Исторический отчет
Название навыка
socialdatax-media-save-organizer
Версия
v3
Сопровождающий
devinchen2014
Источник
github.com/devinchen2014/socialdatax-skills/tree/c14b6adea4ba2b551557115cdfffde4c17375cbf/modelscope-skills/socialdatax-media-save-organizer
Охват
2 Просканировано файлов · 148 Проанализировано строк
Версия политики
skillstore-security-audit-policy-v1

Current license

MIT

Сводка подтверждённой проблемы

Подтвержденные результаты проверки безопасности отсутствуют

Завершённый аудит не выявил подтверждённых проблем безопасности. Это не доказывает отсутствие побочных эффектов у Навыка.

Контекст установки

Исторические доказательства

Этот отчёт может не описывать артефакт, доступный для установки в настоящее время. Откройте текущую страницу Навыка для получения рекомендаций по установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

Most detections are Markdown backticks, normal API authentication references, documentation links, or readable Chinese text rather than shell substitution, leaked secrets, or obfuscation. Two command locations execute an unpinned npm package through npx, exposing the host and inherited credentials to changing third-party code. No evidence of prompt injection or intentional exfiltration was found; external package implementation was not included for review.

Позиция отчета

Исторический отчет

Откройте историю аудита перед использованием этого отчета для установки.

Аттестация аудита

Аттестация заменена

Существует более новая аттестация.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

2 Просканировано файлов · 148 Проанализировано строк

2 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Коммит и путь привязаны

  2. Артефакт

    Хэши содержимого и дерева привязаны

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 3 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Не зафиксировано этим аудитом

Переменные окружения

Может считывать значения из окружения процесса.

Обнаружено в 5 местах расположения доказательств

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 26 местах расположения доказательств

Пункты проверки возможностей (2)
Средний
SKILL.md:31-59
Ruby/shell backtick execution
```bash
Although the delimiter is Markdown, the enclosed commands run npx -y socialdatax-skills@latest. Changing third-party code executes with host permissions and potentially inherited API credentials.
Средний
SKILL.md:78
Ruby/shell backtick execution
将以下本地保存子命令接在 `npx -y socialdatax-skills@latest` 后执行;纯本地 `download-media` 不接受 `--source-client`、`--so
The prose explicitly directs execution through npx -y socialdatax-skills@latest. Automatic execution of an unpinned package permits compromised future releases to access the host.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

В этом завершенном аудите не зафиксировано подтвержденных проблем безопасности.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Средний
    CLI examples execute socialdatax-skills@latest with automatic npm confirmation.
    Replace @latest with a reviewed exact version and lock dependencies. Obtain installation consent and run with minimal filesystem access and credentials.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
d453bfba4f8f4df13e0609a19b6e5f52c4d335e3
Хеш содержимого
497379727c6fe8298c81b360f07bcc238cf4803e8382e2f99eb5cd147a8741f8
Хеш дерева
25dd5315c785ee73cb3d46fa19ff7b4dd53391e4ae338d84f4f04e9d7ee6e5fe
Путь Skill
skills/devinchen2014/socialdatax-media-save-organizer
Хеш данных аудита
5a8e4844f00fc67e8fdfcabcb6858c36

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON Подписанное подтверждение аудита CITATION.cff SARIF 2.1.0 Подписанный манифест установки Источник

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: superseded