Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-3045E4FB

6/30/2026, 10:45:15 AM

app-store-screenshots оценка безопасности v2

Отчёт о сертификации безопасности навыка

История аудитов
Модель аудита: codex Исторический отчет
Название навыка
app-store-screenshots
Версия
v2
Сопровождающий
ParthJadhav
Источник
github.com/ParthJadhav/app-store-screenshots/tree/main/skills/app-store-screenshots/
Охват
1 Просканировано файлов · 335 Проанализировано строк
Версия политики
Недоступно

Наивысшая серьёзность подтверждённого результата

Средний

Подтверждённые проблемы безопасности (2) требуют внимания.

Контекст установки

Исторические доказательства

Этот отчёт может не описывать артефакт, доступный для установки в настоящее время. Откройте текущую страницу Навыка для получения рекомендаций по установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

Static analysis reported many high-risk patterns, but review shows most are Markdown false positives from inline code, screenshot terminology, and words that matched cryptography heuristics. The confirmed risk is legitimate operational behavior: package installation, project scaffolding, filesystem writes, and local image export. No evidence found of prompt injection, credential access, obfuscation, malicious network exfiltration, or unauthorized screenshot upload.

Позиция отчета

Исторический отчет

Откройте историю аудита перед использованием этого отчета для установки.

Аттестация аудита

Не подлежит аттестации

Требуемая неизменяемая привязка не завершена.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

1 Просканировано файлов · 335 Проанализировано строк

2 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Привязка недоступна

  2. Артефакт

    Идентификация неполная

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 2 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Обнаружено в 2 местах расположения доказательств

Переменные окружения

Может считывать значения из окружения процесса.

Не зафиксировано этим аудитом

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 1 месте расположения доказательств

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (2)

RISK-001 Средний
SKILL.md:52-74
Package Installation and Project Scaffolding Commands
The skill instructs the agent to detect package managers, scaffold a Next.js project, and install html-to-image. This is expected for the stated workflow, but it can download third-party code and modify the current workspace, so users should review commands before execution.
The package-manager commands are explicit and affect the workspace. I found no suspicious endpoint, obfuscation, or command injection pattern, so the concern is operational risk rather than malicious intent.
RISK-002 Низкий
SKILL.md:48-55
System Reconnaissance Finding Is Low-Risk Tool Detection
The skill tells the agent to check which package manager exists before choosing install commands. This reveals minimal local environment information and is directly related to setup.
The command checks for common package-manager binaries only. It does not enumerate secrets, users, network configuration, or broader system state.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
Недоступно
Хеш содержимого
Недоступно
Хеш дерева
Недоступно
Путь Skill
Недоступно
Хеш данных аудита
Недоступно

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Статические ложные срабатывания проигнорированы (2)
Низкий
SKILL.md:22-23SKILL.md:291-303SKILL.md:313-334
Screen Capture Upload Finding Is a False Positive
The skill asks the user for local app screenshot and icon files, then describes browser-based export with html-to-image. No evidence found that it uploads screenshots or captured images to a remote service.
The cited lines discuss local source assets and local PNG export behavior. There is no instruction to transmit captures to an external domain or service.
Низкий
SKILL.md:3SKILL.md:27SKILL.md:40SKILL.md:79SKILL.md:112SKILL.md:129-130SKILL.md:134SKILL.md:149SKILL.md:168SKILL.md:178SKILL.md:199-203SKILL.md:259SKILL.md:325SKILL.md:332-333
Weak Cryptography Findings Are False Positives
The weak-cryptography static hits occur in prose, Markdown, dimensions, and design guidance. No cryptographic algorithm, hash function call, encryption code, or credential handling appears in the skill text.
The flagged lines are natural-language instructions and UI sizing examples, not cryptographic code. The file contains no executable crypto implementation to evaluate.

Проверить и экспортировать

Отчёт JSON CITATION.cff SARIF 2.1.0 Подписанный манифест установки

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: not_attestable