Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-E8A4584F

11/5/2026, 9:58:10 AM

x402socks оценка безопасности v4

Отчёт о сертификации безопасности навыка

История аудитов
Версия сканера 3.0.0 Модель аудита: codex Исторический отчет
Название навыка
x402socks
Версия
v1.2.2
Сопровождающий
x402socks
Источник
github.com/x402socks/skill/tree/e5f9bc9d6386307fc7373825225f6fc48c7e045f/skills/x402socks
Охват
7 Просканировано файлов · 1,318 Проанализировано строк
Версия политики
skillstore-security-audit-policy-v1

Current license

MIT

Наивысшая серьёзность подтверждённого результата

Средний

Подтверждённая проблема безопасности (1) требует внимания.

Контекст установки

Исторические доказательства

Этот отчёт может не описывать артефакт, доступный для установки в настоящее время. Откройте текущую страницу Навыка для получения рекомендаций по установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

Most static matches are Markdown syntax, expected HTTPS requests, local signing, or protected token storage. Confirmed legacy transport paths expose reusable credentials despite explicit opt-in, and malformed credential responses can leak tokens through stdout. No evidence found of prompt injection, unrelated secret harvesting, or intentional malicious exfiltration.

Позиция отчета

Исторический отчет

Откройте историю аудита перед использованием этого отчета для установки.

Аттестация аудита

Аттестация заменена

Существует более новая аттестация.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

7 Просканировано файлов · 1,318 Проанализировано строк

7 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Коммит и путь привязаны

  2. Артефакт

    Хэши содержимого и дерева привязаны

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 46 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Обнаружено в 30 местах расположения доказательств

Переменные окружения

Может считывать значения из окружения процесса.

Обнаружено в 7 местах расположения доказательств

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 50 местах расположения доказательств

Пункты проверки возможностей (6)
Высокий
references/endpoints.md:34
SOCKS proxy
| SOCKS5 | `socks5h://<exit>.x402socks.com:1080` | Every exit |
The documented socks5h address uses unencrypted SOCKS5 authentication with a reusable paid token. Remote DNS does not prevent credential interception.
Высокий
references/endpoints.md:245
SOCKS proxy
The helper exposes both under `test --plaintext` / `test --socks5` with
These instructions enable legacy plaintext transports that transmit the reusable token without encryption. Explicit opt-in reduces accidental use but cannot prevent network interception.
Высокий
scripts/x402socks.sh:378
Hardcoded URL
proxy="http://$exit_id.x402socks.com:3128"
The http proxy URL enables unencrypted CONNECT authentication with the reusable token. Opt-in permits operation but leaves credentials exposed to network observers.
Высокий
scripts/x402socks.sh:355
SOCKS proxy
--socks5) mode="socks5" ;;
This option selects SOCKS5, which sends the reusable proxy credential unencrypted after opt-in. A network observer can steal paid access.
Высокий
scripts/x402socks.sh:374
SOCKS proxy
plaintext|socks5)
This executable branch permits plaintext authentication when X402SOCKS_ALLOW_PLAINTEXT is set. The warning and opt-in do not encrypt the reusable token.
Высокий
scripts/x402socks.sh:380
SOCKS proxy
proxy="socks5h://$exit_id.x402socks.com:1080"
The socks5h proxy configuration transmits the reusable authentication token without transport encryption. Proxy-side DNS resolution does not protect those credentials.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (1)

RISK-001 Средний
scripts/x402socks.sh:77-85
Malformed credential responses can expose tokens in logs
The rotation and recovery parser prints malformed responses unchanged. A response truncated after the token value can disclose the complete reusable credential in logs or transcripts.
The JSON parsing failure handler directly writes the raw response to stdout. Token disclosure depends on the malformed response retaining its credential value.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Высокий
    Opt-in SOCKS5 and plaintext CONNECT expose reusable credentials.
    Remove unencrypted authentication paths or require an authenticated encrypted tunnel before enabling them. Keep verified TLS CONNECT as the default.
  2. FIX-002
    Средний
    Malformed rotation or recovery responses are printed without redaction.
    Never print raw credential responses on parsing errors. Emit a fixed error and restrict diagnostic output to explicitly allowed non-secret fields.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
e8a4584f28c4067494c8167639da65ffa62e5cfd
Хеш содержимого
2abf397cd77d46ded90d62bab0f862cf1a845d367263a9b59e4af6cd892817ae
Хеш дерева
370b35a90ae3d441a7df7e142b92c94e613ecc6b94a31e7f1be36518aad80d5c
Путь Skill
skills/x402socks/x402socks
Хеш данных аудита
87d3bb6b34f5d6226ac6d8fa99d0a3cf

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON Подписанное подтверждение аудита CITATION.cff SARIF 2.1.0 Подписанный манифест установки Источник

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: superseded