Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-6425EC35

7/5/2026, 11:10:52 PM

playwright-cli оценка безопасности v3

Отчёт о сертификации безопасности навыка

История аудитов
Модель аудита: codex Исторический отчет
Название навыка
playwright-cli
Версия
v3
Сопровождающий
microsoft
Источник
github.com/microsoft/playwright-cli/tree/main/skills/playwright-cli/
Охват
7 Просканировано файлов · 1,149 Проанализировано строк
Версия политики
Недоступно

Наивысшая серьёзность подтверждённого результата

Средний

Подтверждённые проблемы безопасности (10) требуют внимания.

Контекст установки

Исторические доказательства

Этот отчёт может не описывать артефакт, доступный для установки в настоящее время. Откройте текущую страницу Навыка для получения рекомендаций по установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

Most static findings are false positives from Markdown examples, placeholder URLs, and documented playwright-cli commands. Confirmed risks are limited to browser-session data operations and documented advanced capabilities such as run-code, tracing, and destructive session cleanup.

Позиция отчета

Исторический отчет

Откройте историю аудита перед использованием этого отчета для установки.

Аттестация аудита

Не подлежит аттестации

Требуемая неизменяемая привязка не завершена.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

7 Просканировано файлов · 1,149 Проанализировано строк

10 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Привязка недоступна

  2. Артефакт

    Идентификация неполная

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 34 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Обнаружено в 1 месте расположения доказательств

Переменные окружения

Может считывать значения из окружения процесса.

Не зафиксировано этим аудитом

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 39 местах расположения доказательств

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (10)

RISK-001 Средний
SKILL.md:147-152references/running-code.md:1-11
Arbitrary Playwright Code Execution
The skill documents run-code as a way to execute arbitrary Playwright code. This is powerful and expected, but it can read page data, grant permissions, or alter browser state on sensitive sites.
The documentation explicitly describes run-code for arbitrary Playwright code and shows direct browser context operations. The risk depends on user intent, but the capability is clear.
RISK-002 Средний
SKILL.md:111-118references/storage-state.md:31-56references/storage-state.md:269-275
Browser Session Data Access
The skill supports reading, writing, deleting, saving, and restoring cookies and browser storage. These operations can expose or modify authentication state if used on real accounts.
The cited lines show cookie commands, stored cookies and localStorage values, and security notes about auth tokens. This confirms the session data exposure risk.
RISK-003 Средний
references/tracing.md:34-40references/tracing.md:87-100
Trace Artifacts Can Capture Sensitive Data
Tracing captures request headers, bodies, DOM snapshots, screenshots, and console messages. The example flow enters payment-like values, so traces can store sensitive test or user data.
The documentation states traces include request and response bodies and shows a checkout capture flow. That directly supports the sensitive artifact risk.
RISK-004 Низкий
references/storage-state.md:82-83
System reconnaissance
playwright-cli cookie-get session_id
The command can read, set, or delete browser cookies such as session_id, which may represent authentication state. This is documented functionality, but it is a real session data risk.
RISK-005 Низкий
references/storage-state.md:101-102
System reconnaissance
playwright-cli cookie-delete session_id
The command can read, set, or delete browser cookies such as session_id, which may represent authentication state. This is documented functionality, but it is a real session data risk.
RISK-006 Низкий
SKILL.md:114-115
System reconnaissance
playwright-cli cookie-get session_id
The command can read, set, or delete browser cookies such as session_id, which may represent authentication state. This is documented functionality, but it is a real session data risk.
RISK-007 Низкий
SKILL.md:115
System reconnaissance
playwright-cli cookie-set session_id abc123
The command can read, set, or delete browser cookies such as session_id, which may represent authentication state. This is documented functionality, but it is a real session data risk.
RISK-008 Низкий
SKILL.md:116
System reconnaissance
playwright-cli cookie-set session_id abc123 --domain=example.com --httpOnly --secure
The command can read, set, or delete browser cookies such as session_id, which may represent authentication state. This is documented functionality, but it is a real session data risk.
RISK-009 Низкий
SKILL.md:117-118
System reconnaissance
playwright-cli cookie-delete session_id
The command can read, set, or delete browser cookies such as session_id, which may represent authentication state. This is documented functionality, but it is a real session data risk.
RISK-010 Низкий
SKILL.md:176-180SKILL.md:201-214
Destructive Browser Session Controls
The skill documents commands that delete session data and forcefully kill browser processes. These commands are legitimate, but they can disrupt active work or remove useful state.
The cited commands explicitly delete user data, close browsers, and kill browser processes. The impact is operational disruption rather than malicious behavior.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Средний
    run-code and eval can execute powerful browser automation logic.
    Add guidance to request explicit user confirmation before running arbitrary code, granting permissions, reading clipboard data, or operating on sensitive sites.
  2. FIX-002
    Средний
    Cookie and storage commands can expose or alter authentication state.
    Warn users to use test accounts, avoid real secrets, and delete or ignore saved auth state files after each workflow.
  3. FIX-003
    Средний
    Trace, video, screenshot, and snapshot artifacts can contain sensitive page data.
    Document artifact retention practices, redact sensitive values before sharing, and add generated artifact paths to project ignore files.
  4. FIX-004
    Низкий
    delete-data, close-all, kill-all, and clear commands can disrupt active browser sessions.
    Recommend an explicit confirmation step before destructive session cleanup commands.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
Недоступно
Хеш содержимого
Недоступно
Хеш дерева
Недоступно
Путь Skill
Недоступно
Хеш данных аудита
Недоступно

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON CITATION.cff SARIF 2.1.0 Подписанный манифест установки

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: not_attestable