📦
История аудитов
syncbook - 1 аудит
Версия аудита 1 Последняя
25 окт. 2026 г., 22:41
Most static detections are benign documentation, JavaScript syntax, or private credential storage; no evidence of deliberate credential theft was found. The shared request helper can forward sensitive bodies through redirects, and remote prompts introduce an unpinned instruction trust boundary.
6
Просканировано файлов
308
Проанализировано строк
6
Пункты проверки
0
Ложные срабатывания проигнорированы
Подтверждённые проблемы безопасности (1)
Средний
Unpinned Remote Instructions Enter Agent Workflows
The skill says to read the 'complete coordination handoff' and create a weekly job using a live remote prompt. No pinned version or review step protects against changed instructions entering a persistent task with authorized connectors.
The source explicitly delegates coordination and scheduled instructions to mutable remote text without integrity checks. No evidence of an actual malicious remote payload was found.
Пункты проверки возможностей (1)
Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.
Средний
Fetch API call
async function call(path,method='GET',data,privateAccess=false){const headers={};if(data!==undefined
Fetch follows redirects without rechecking the origin allowlist. A 307 or 308 response can forward profile data or the status request's token body externally.
Факторы риска
🌐 Доступ к сети (12)
📁 Доступ к файловой системе (3)
⚙️ Внешние команды (14)
🔑 Переменные окружения (4)
Аудитор:: codex