Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-C993C6AB

11/6/2026, 3:33:19 PM

pptx-nova оценка безопасности v1

Отчёт о сертификации безопасности навыка

История аудитов
Версия сканера 3.0.0 Модель аудита: codex Последний опубликованный отчёт
Название навыка
pptx-nova
Версия
v1
Сопровождающий
hustcer
Источник
github.com/hustcer/pptx-nova/tree/9387fc26897dbe27564fb0864fc6f81e2b47aa9a/pptx-nova
Охват
713 Просканировано файлов · 182,283 Проанализировано строк
Версия политики
skillstore-security-audit-policy-v1

Current license

Неизвестно

Сводка подтверждённой проблемы

Подтвержденные результаты проверки безопасности отсутствуют

Завершённый аудит не выявил подтверждённых проблем безопасности. Это не доказывает отсутствие побочных эффектов у Навыка.

Контекст установки

Проверьте текущую страницу навыка

Эта страница содержит только сводку доказательств отчёта. Страница Навыка содержит каноническое уведомление об установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

Reviewed all 1,000 supplied findings; most are syntax, multilingual text, local workflow operations, or explicit safety prohibitions. Confirmed risks concern executable JavaScript content loading and predictable shared temporary log redirection; no evidence found of malicious exfiltration or audit-directed prompt injection. The static cap leaves 4,842 additional matches unadjudicated, so this review does not establish publication readiness. Static review was capped at 1000/5842 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

Позиция отчета

Последний опубликованный отчёт

«Последний» относится к последовательности отчётов, а не к актуальности артефакта.

Аттестация аудита

Активная аттестация

Для этого точного отчёта доступна публичная аттестация.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

713 Просканировано файлов · 182,283 Проанализировано строк

3 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Коммит и путь привязаны

  2. Артефакт

    Хэши содержимого и дерева привязаны

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Обнаружено в 7 местах расположения доказательств

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 50 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Обнаружено в 51 местах расположения доказательств

Переменные окружения

Может считывать значения из окружения процесса.

Обнаружено в 28 местах расположения доказательств

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 51 местах расположения доказательств

Пункты проверки возможностей (3)
Средний
assets/deckkits/shared/core-primitives.kit.mjs:321
Dynamic import() expression
const mod = await import(join(process.cwd(), path))
loadContent imports supplied .js or .mjs content paths before validation, executing their top-level code with user privileges. Untrusted content can therefore execute arbitrary code.
Средний
references/runtime/daemon-sessions.md:51
nohup (background persistent process)
nohup xdoc daemon start >/tmp/xdoc-daemon.log 2>&1 &
The example redirects daemon output to predictable /tmp/xdoc-daemon.log without exclusive creation. A precreated symlink can redirect writes where platform protections permit.
Средний
references/runtime/daemon-sessions.md:51
Temp directory access
nohup xdoc daemon start >/tmp/xdoc-daemon.log 2>&1 &
The example redirects daemon output to predictable /tmp/xdoc-daemon.log without exclusive creation. A precreated symlink can redirect writes where platform protections permit.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

В этом завершенном аудите не зафиксировано подтвержденных проблем безопасности.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Высокий
    The supplied static review is capped at 1,000 of 5,842 matches.
    Complete manual adjudication of the remaining 4,842 matches before automatic publication; retain this review coverage limitation.
  2. FIX-002
    Средний
    Static review capped
    Manually review the omitted 4842 static analyzer matches or reduce bundled generated/vendor/reference content before enabling automatic publication.
  3. FIX-003
    Средний
    JavaScript content files execute during loadContent.
    Accept data-only JSON by default; require explicit trusted-code opt-in or isolated execution before importing JavaScript content modules.
  4. FIX-004
    Средний
    The daemon example writes to a predictable shared temporary log.
    Allocate logs inside a private mktemp directory with restrictive permissions and exclusive creation instead of redirecting to /tmp/xdoc-daemon.log.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
c993c6abcbffafea2683d7748b53b3dfaf438415
Хеш содержимого
22f344139d0a7ba92111a941d4a684ed5e0f8b3ccbf809713be7a3b0075995cc
Хеш дерева
3eeef03d2706173fa70f4f3b4f605320b0a48b9a2fd33696de23af03df928ca9
Путь Skill
skills/hustcer/pptx-nova
Хеш данных аудита
0026cae8492558ad0a0c6998154b9fa2

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON Подписанное подтверждение аудита CITATION.cff SARIF 2.1.0 Подписанный манифест установки Источник

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: active