📦

zentao-api

Name: zentao-api
Author: easysoft

v1.0.0 Высокий риск ⚡ Содержит скрипты⚙️ Внешние команды📁 Доступ к файловой системе🌐 Доступ к сети

Управление рабочими элементами ZenTao через API

Командам нужен быстрый доступ к записям ZenTao без необходимости запоминать каждый REST endpoint. Этот навык сопоставляет запросы пользователей с вызовами ZenTao API для проектов, ошибок, требований, задач, тестов, релизов и пользователей.

Поддерживает: Claude Codex Code(CC)

⚠️ 38 Плохо

Скачать ZIP навыка

Загрузить в Claude

Перейдите в Settings → Capabilities → Skills → Upload skill

Включите и начните использовать

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/easysoft-zentao-api.md Подписанный manifest GET /api/skills/easysoft-zentao-api/manifest Подписанный lockfile GET /api/skills/easysoft-zentao-api/lockfile

Протестировать

Использование «zentao-api». Покажи нерешенные ошибки для product 6.

Ожидаемый результат:

Сгруппированный отчет об ошибках с bug ID, заголовком, severity, исполнителем, статусом и следующим рекомендуемым действием.

Использование «zentao-api». Создай задачу в execution 18 для регрессионного тестирования API.

Ожидаемый результат:

Сообщение подтверждения с названием задачи, execution, исполнителем, оценкой и полями, которые будут отправлены.

Использование «zentao-api». Закрой story 122, потому что она завершена.

Ожидаемый результат:

Обновление статуса, подтверждающее причину закрытия, затронутую story, результат API и любые предупреждения сервера, возвращенные ZenTao.

Аудит безопасности

Высокий риск

v2 • 6/29/2026

Static analysis over-reported many Markdown backticks and weak-cryptography hits that are false positives in API documentation. However, manual review confirmed a high-risk eval workflow that emits unescaped credentials into the shell and a plaintext persistent token cache. No prompt injection attempt or confirmed malicious intent was found, so this is not a critical block.

Просканировано файлов

776

Проанализировано строк

Review items

False positives ignored

Confirmed security concerns (4)

Высокий

SKILL.md:33 SKILL.md:43 scripts/get-token.sh:15-17 scripts/get-token.sh:101

Shell Eval Command Injection in Token Setup

The skill tells users to run the token helper through eval. The helper prints unescaped URL, token, and account values as shell assignments, so metacharacters from environment variables, the cache file, or a server response can execute in the user shell.

The eval instruction is explicit, and the script emits raw variable values without shell escaping. This creates a direct command execution path if any emitted value is attacker controlled.

Высокий

SKILL.md:24 scripts/get-token.sh:5-6 scripts/get-token.sh:57 scripts/get-token.sh:98

Persistent Plaintext ZenTao Token Cache

The helper stores ZenTao URL, account, and token in a hidden home-directory JSON file. The documentation states ZenTao tokens are permanent, so local file disclosure can expose long-lived account access.

The cache path and write operations are directly present, and the comments describe permanent token behavior. The risk depends on local file permissions but the credential persistence is confirmed.

Низкий

api-reference.md:3-5 api-reference.md:36 SKILL.md:52-74

Markdown Backticks Misclassified as External Commands

Most static external command hits in SKILL.md and api-reference.md are Markdown code spans, shell examples, endpoint paths, or API tables. They are not executable Ruby backticks in a source file.

The cited lines are documentation text and tables, not Ruby code. The exception is the documented shell eval workflow, which is captured as a separate high-risk finding.

Низкий

api-reference.md:84-86 api-reference.md:237-241 SKILL.md:168-171

Weak Cryptography Findings Are Terminology False Positives

The weak cryptography hits map to API documentation terms, enum values, field names, and Markdown content. No evidence found of hashing, encryption, or custom cryptographic implementation in the reviewed files.

Manual review of representative flagged lines shows API fields and status values rather than crypto operations. This makes the high static severity misleading for that pattern.

Capability review items (2)

These are real local capabilities that may be expected for this skill, so they require review but are not counted as confirmed malicious behavior.

Средний

scripts/get-token.sh:71-73 SKILL.md:41-48 SKILL.md:95-161

Authenticated Network Requests and Mutating API Operations

The skill is designed to send authenticated requests to a user-configured ZenTao server and supports create, update, delete, and status transition actions. This is expected for the skill, but it can change project records and should require clear user confirmation.

The network call and many mutating curl examples are visible. The behavior is legitimate for this integration, but it raises operational risk when credentials are available.

Низкий

scripts/get-token.sh:1-6 SKILL.md:1-8

High Entropy Heuristic Appears Caused by Documentation Text

The high entropy heuristic points at normal shell script and Markdown files containing Chinese text and dense API references. No evidence found of encoded payloads, binary blobs, or encrypted content.

The flagged files are readable source and documentation. The confidence is below very high because entropy is a heuristic, but the reviewed context does not show obfuscation.

Факторы риска

⚡ Содержит скрипты (2)

scripts/get-token.sh:1 SKILL.md:30-33

⚙️ Внешние команды (3)

SKILL.md:33 SKILL.md:43 scripts/get-token.sh:71-75

📁 Доступ к файловой системе (5)

SKILL.md:24 SKILL.md:220 scripts/get-token.sh:10 scripts/get-token.sh:57 scripts/get-token.sh:98

🌐 Доступ к сети (2)

scripts/get-token.sh:71-73 SKILL.md:229-230

Обнаруженные паттерны

Shell Eval Command Injection in Token SetupPersistent Plaintext ZenTao Token Cache

Аудитор:: codex Посмотреть историю аудитов →

Оценка качества

Архитектура

100

Сопровождаемость

Контент

Сообщество

Безопасность

Соответствие спецификации

Что вы можете построить

Отслеживание работы спринта

Составлять список активных проектов, executions, назначенных задач, нерешенных ошибок и заблокированной работы из ZenTao.

Ведение бэклога продукта

Создавать, обновлять, закрывать или активировать stories, epics, требования, планы продуктов и релизы.

Координация тестирования

Управлять ошибками, тест-кейсами, тестовыми задачами, сборками и готовностью к релизу на основе данных ZenTao API.

Попробуйте эти промпты

Показать активную работу по проектам

Покажи мои активные проекты и executions в ZenTao. Включи открытые задачи и нерешенные ошибки, сгруппированные по проектам.

Создать подтвержденную ошибку

Создай ошибку ZenTao для product 12 с заголовком Вход не выполняется после сброса пароля. Используй открытую сборку trunk и severity 2. Попроси меня подтвердить перед созданием.

Обновить детали требования

Обнови story 345 новыми критериями приемки, которые я предоставлю. Сначала получи текущую story, сохрани неизмененные поля и подтверди итоговые изменения перед отправкой.

Проверить готовность релиза

Для product 8 проверь готовность релиза. Проверь открытые ошибки, активные требования, сборки, тестовые задачи и tickets. Суммируй блокеры и рекомендуемые следующие действия.

Лучшие практики

Используйте переменные окружения для ZenTao URL и учетных данных, а также обновляйте токены после использования на общем компьютере.
Подтверждайте каждое действие создания, обновления, удаления, закрытия, разрешения или активации перед отправкой запроса.
Получайте текущие сведения о записи перед обновлениями PUT, чтобы сохранить неизмененные обязательные поля.

Избегать

Не публикуйте текущий token helper без замены вывода eval на shell-safe exports.
Не храните долгоживущие токены ZenTao в общих домашних каталогах без строгих прав доступа к файлам.
Не отправляйте запросы на удаление или закрытие на основе расплывчатых prompts, в которых отсутствуют item IDs и подтверждение.