📦

shareone

Name: shareone
Author: sudoprivacy

v1.2.10 Ревизия содержимого r2 Критично ⚙️ Внешние команды🌐 Доступ к сети📁 Доступ к файловой системе🔑 Переменные окружения⚡ Содержит скрипты

Публикуйте файлы и ссылки с ShareOne

Для обмена сгенерированными файлами часто требуются ручные шаги загрузки и управление ссылками. Этот навык публикует файлы в ShareOne и помогает управлять ссылками, паролями, водяными знаками, скачиваниями и комментариями.

Поддерживает: Claude Codex Code(CC)

⚠️ 38 Плохо

Этот навык входит в набор

Установите весь набор одной командой, чтобы получить все навыки для задачи.

Публикатор файлов ShareOne · 1 навыки Установить весь набор

Не устанавливайте этот Skill автоматически.

Каноническая политика требует проверки оператором перед любым действием по установке.

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "shareone" from https://skillstore.io/skills/sudoprivacy-shareone.md and its manifest at https://skillstore.io/api/skills/sudoprivacy-shareone/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/sudoprivacy-shareone.md Подписанный manifest GET /api/skills/sudoprivacy-shareone/manifest Подписанный lockfile GET /api/skills/sudoprivacy-shareone/lockfile

Протестировать

Использование «shareone». Опубликуй последний HTML-файл панели мониторинга и добавь водяной знак.

Ожидаемый результат:

Навык подтверждает, что публикация разрешена, загружает страницу, затем возвращает ссылку ShareOne, резервную ссылку, если она доступна, и статус водяного знака.

Использование «shareone». Скачай этот файл ShareOne и резюмируй его.

Ожидаемый результат:

Навык скачивает разрешенный файл, сохраняет его локально, определяет тип контента и предоставляет краткое резюме.

Использование «shareone». Закрой комментарии на существующей общей странице.

Ожидаемый результат:

Навык перечисляет нерешенные комментарии, помечает выбранные пункты как находящиеся в работе, обновляет страницу, отвечает с описанием внесенных изменений и закрывает решенные комментарии.

Аудит безопасности

Критично

v6 • 17.08.2026 Открыть версионный отчет

The audit confirmed remote pipe-to-shell execution, unsafe filename insertion into HTML, transcript exposure of guest keys, and authenticated requests to caller-selected origins. Most scanner matches are false positives from documentation, JavaScript template literals, loopback tests, and expected CLI file or network operations. No prompt injection or obfuscated payload evidence was found. Static review was capped at 400/531 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.

Просканировано файлов

4,419

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (9)

Критично

.github/workflows/publish-skillhub.yml:45

Pipe to shell pattern

curl -fsSL https://skillhub.cn/install/install.sh | bash -s -- --cli-only

The workflow downloads an unpinned remote installer and immediately pipes it to Bash, allowing upstream compromise to execute arbitrary code.

Высокий

scripts/manage_collaborators.js:42

Environment file access

process.env.SHAREONE_BASE_URL = explicitBaseUrl;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/manage_collaborators.js:92

Environment file access

process.env.SHAREONE_BASE_URL = `${parsed.protocol}//${parsed.host}`;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/shareone_client.js:27

Environment file access

return process.env.SHAREONE_BASE_URL || DEFAULT_BASE_URL;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/shareone_upload.js:198

Environment file access

process.env.SHAREONE_BASE_URL = nextValue(i, args[i]);

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/update_share_settings.js:48

Environment file access

process.env.SHAREONE_BASE_URL = explicitBaseUrl;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/update_share_settings.js:96

Environment file access

process.env.SHAREONE_BASE_URL = host === 'shareone.vip' || host.endsWith('.shareone.vip')

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/upload_page.js:53

Environment file access

process.env.SHAREONE_BASE_URL = nextValue(i, args[i]);

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Показать все подтверждённые находки (9)

Высокий

scripts/manage_collaborators.js:89-93 scripts/update_share_settings.js:92-99 scripts/upload_page.js:52-53 scripts/shareone_client.js:415-418

Authenticated Requests Can Target Arbitrary Origins

Full share URLs and --base-url can select an arbitrary API origin. Direct mode then attaches the ShareOne API key to requests sent there.

The origin is derived from caller input, while direct authenticated requests add X-API-Key without an origin allowlist or HTTPS requirement.

Пункты проверки возможностей (23)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Критично

.github/workflows/publish-skillhub.yml:45

Hardcoded URL

curl -fsSL https://skillhub.cn/install/install.sh | bash -s -- --cli-only

This URL supplies the unpinned installer executed through Bash on the same line, creating a direct remote code execution supply-chain risk.

Высокий

scripts/create_guest_key.js:29

Generic API/secret keys

console.log(`GUEST_KEY_CREATED:${result.api_key}`);

This outputs or requires relaying a newly issued API key through the agent transcript, exposing a bearer credential to logs and conversation retention.

Высокий

scripts/create_guest_key.js:40

Generic API/secret keys

console.log(`GUEST_KEY_CREATED:${result.api_key}`);

This outputs or requires relaying a newly issued API key through the agent transcript, exposing a bearer credential to logs and conversation retention.

Высокий

scripts/ensure_credentials.js:165

Generic API/secret keys

console.log(`GUEST_KEY_CREATED:${result.api_key}`);

This outputs or requires relaying a newly issued API key through the agent transcript, exposing a bearer credential to logs and conversation retention.

Высокий

scripts/ensure_credentials.js:168

Generic API/secret keys

console.log(guestKeyNotification(result.api_key));

This outputs or requires relaying a newly issued API key through the agent transcript, exposing a bearer credential to logs and conversation retention.

Высокий

SKILL.md:126

Generic API/secret keys

- 如果 `ensure_credentials.js --create-guest` 或底层 `create_guest_key.js` 输出 `GUEST_KEY_CREATED:<api_key

This outputs or requires relaying a newly issued API key through the agent transcript, exposing a bearer credential to logs and conversation retention.

Высокий

workflows/environment-and-credentials.md:34

Generic API/secret keys

- `GUEST_KEY_CREATED:<api_key>`:**阻塞性用户通知**。分隔线之后是需要原样转发给用户的完整通知文本(含临时 API Key、绑定账号链接和保存提醒)。必须先把该通知发

This outputs or requires relaying a newly issued API key through the agent transcript, exposing a bearer credential to logs and conversation retention.

Высокий

templates/page-storage-dropzone.html:65

innerHTML assignment (XSS risk)

chip.innerHTML = '<span class="name">📄 ' + file.name + '</span><span class="meta">' + human(file.si

A local filename is concatenated into innerHTML without escaping, so a crafted filename can inject executable markup into the published page.

Высокий

scripts/manage_collaborators.js:42

Environment variable access (dot notation)

process.env.SHAREONE_BASE_URL = explicitBaseUrl;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/manage_collaborators.js:92

Environment variable access (dot notation)

process.env.SHAREONE_BASE_URL = `${parsed.protocol}//${parsed.host}`;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/shareone_client.js:27

Environment variable access (dot notation)

return process.env.SHAREONE_BASE_URL || DEFAULT_BASE_URL;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/shareone_upload.js:198

Environment variable access (dot notation)

process.env.SHAREONE_BASE_URL = nextValue(i, args[i]);

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/update_share_settings.js:48

Environment variable access (dot notation)

process.env.SHAREONE_BASE_URL = explicitBaseUrl;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/update_share_settings.js:96

Environment variable access (dot notation)

process.env.SHAREONE_BASE_URL = host === 'shareone.vip' || host.endsWith('.shareone.vip')

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/upload_page.js:53

Environment variable access (dot notation)

process.env.SHAREONE_BASE_URL = nextValue(i, args[i]);

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/manage_collaborators.js:42

Environment variable object

process.env.SHAREONE_BASE_URL = explicitBaseUrl;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/manage_collaborators.js:92

Environment variable object

process.env.SHAREONE_BASE_URL = `${parsed.protocol}//${parsed.host}`;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/shareone_client.js:27

Environment variable object

return process.env.SHAREONE_BASE_URL || DEFAULT_BASE_URL;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/shareone_upload.js:198

Environment variable object

process.env.SHAREONE_BASE_URL = nextValue(i, args[i]);

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/update_share_settings.js:48

Environment variable object

process.env.SHAREONE_BASE_URL = explicitBaseUrl;

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/update_share_settings.js:96

Environment variable object

process.env.SHAREONE_BASE_URL = host === 'shareone.vip' || host.endsWith('.shareone.vip')

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Высокий

scripts/upload_page.js:53

Environment variable object

process.env.SHAREONE_BASE_URL = nextValue(i, args[i]);

This accepts or propagates a caller-controlled API origin that later receives authenticated ShareOne requests, enabling credential disclosure to an untrusted host.

Средний

workflows/publish-text-page.md:127

Hardcoded URL

import mermaid from 'https://cdn.jsdelivr.net/npm/mermaid@11/dist/mermaid.esm.min.mjs';

The generated page imports a floating major-version script from a CDN without integrity verification, exposing published pages to dependency compromise.

Факторы риска

⚙️ Внешние команды (50)

🌐 Доступ к сети (50)

📁 Доступ к файловой системе (50)

🔑 Переменные окружения (50)

scripts/check_api_key.js:24 scripts/check_api_key.js:24 scripts/check_api_key.js:16 scripts/check_api_key.js:24 scripts/comment_reply.js:85 scripts/comment_resolve.js:71 scripts/create_guest_key.js:23 scripts/create_guest_key.js:26 scripts/create_guest_key.js:28 scripts/create_guest_key.js:29 scripts/create_guest_key.js:38 scripts/create_guest_key.js:40 scripts/delete_api_key.js:13 scripts/delete_share.js:48 scripts/download_share.js:165 scripts/ensure_credentials.js:33 scripts/ensure_credentials.js:33 scripts/ensure_credentials.js:33 scripts/ensure_credentials.js:142 scripts/ensure_credentials.js:150 scripts/ensure_credentials.js:157 scripts/ensure_credentials.js:161 scripts/ensure_credentials.js:165 scripts/ensure_credentials.js:168 scripts/manage_collaborators.js:42 scripts/manage_collaborators.js:92 scripts/manage_collaborators.js:42 scripts/manage_collaborators.js:92 scripts/manage_collaborators.js:114 scripts/proxy_support.test.cjs:49 scripts/proxy_support.test.cjs:52 scripts/proxy_support.test.cjs:59 scripts/proxy_support.test.cjs:67 scripts/proxy_support.test.cjs:68 scripts/proxy_support.test.cjs:74 scripts/proxy_support.test.cjs:82 scripts/proxy_support.test.cjs:49 scripts/proxy_support.test.cjs:52 scripts/proxy_support.test.cjs:59 scripts/proxy_support.test.cjs:67 scripts/proxy_support.test.cjs:68 scripts/proxy_support.test.cjs:74 scripts/proxy_support.test.cjs:82 scripts/refresh_share.js:50 scripts/save_api_key.js:14 scripts/save_api_key.js:16 scripts/shareone_api_request.js:93 scripts/shareone_client.js:19 scripts/shareone_client.js:23 scripts/shareone_client.js:27

⚡ Содержит скрипты (4)

scripts/download_share.js:108 scripts/download_share.js:116 templates/client-side-inference.html:92 templates/page-storage-dropzone.html:65

Обнаруженные паттерны

Pipe to shell pattern

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/sudoprivacy-shareone/audits/6?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/sudoprivacy-shareone/security.svg)](https://skillstore.io/skills/sudoprivacy-shareone?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/sudoprivacy-shareone?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sudoprivacy-shareone/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/sudoprivacy-shareone.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

sudoprivacy. (2026). shareone security audit report (audit version 6) [Author version 1.2.10]. Skillstore. https://skillstore.io/skills/sudoprivacy-shareone/audits/6

Цитата BibTeX

@techreport{sudoprivacy-sudoprivacy-shareone-2026,
  author = {sudoprivacy},
  title = {shareone security audit report (audit version 6)},
  institution = {Skillstore},
  year = {2026},
  number = {6},
  url = {https://skillstore.io/skills/sudoprivacy-shareone/audits/6},
  note = {Author version 1.2.10}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "shareone security audit report (audit version 6)"
version: "1.2.10"
type: report
authors:
  - name: "sudoprivacy"
date-released: "2026-08-17"
url: "https://skillstore.io/skills/sudoprivacy-shareone/audits/6"
identifiers:
  - type: other
    value: "skillstore:sudoprivacy-shareone:audit:6"
    description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Средний

Архитектура

100

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Опубликовать сгенерированную страницу

Преобразуйте локальный HTML, Markdown или текстовый файл в ссылку ShareOne для проверки.

Поделиться защищенным документом

Загрузите PDF, презентацию или файл Word с необязательными настройками пароля или водяного знака.

Закрыть комментарии проверки

Получите комментарии ShareOne, обновите исходную страницу, ответьте и пометьте комментарии как решенные.

Попробуйте эти промпты

Опубликовать страницу

Опубликуй ./index.html в ShareOne и верни ссылку для общего доступа после того, как я подтвержу запрос безопасности публикации.

Поделиться документом

Загрузи ./proposal.pdf в ShareOne с паролем 2468 и водяным знаком Internal Review.

Обновить настройки ссылки

Обнови эту ссылку ShareOne, чтобы включить комментарии и задать пользовательский slug product-demo: https://shareone.app/s/example.

Обработать комментарии проверки

Получите нерешенные комментарии по этой ссылке ShareOne, примените запрошенные изменения страницы, повторно опубликуйте, ответьте на каждый комментарий и закройте выполненные пункты.

Лучшие практики

Проверяйте контент и получайте явное согласие пользователя перед любой публичной загрузкой.
Используйте пароли и водяные знаки для материалов с конфиденциальным или ограниченным кругом получателей.
Используйте только доверенные ссылки ShareOne и доверенные настройки базового URL API.

Избегать

Не публикуйте конфиденциальные файлы без четкого согласия пользователя.
Не раскрывайте полные API-ключи в стенограммах, журналах, URL или скриншотах.
Не отправляйте запросы с учетными данными в источники, не относящиеся к ShareOne, или в недоверенные источники.