Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-9938F91A

11/8/2026, 11:05:27 PM

x402socks оценка безопасности v5

Отчёт о сертификации безопасности навыка

История аудитов
Версия сканера 3.0.0 Модель аудита: codex Последний опубликованный отчёт
Название навыка
x402socks
Версия
v1.2.4
Сопровождающий
x402socks
Источник
github.com/x402socks/skill/tree/e5f9bc9d6386307fc7373825225f6fc48c7e045f/skills/x402socks
Охват
7 Просканировано файлов · 1,367 Проанализировано строк
Версия политики
skillstore-security-audit-policy-v1

Current license

MIT

Наивысшая серьёзность подтверждённого результата

Средний

Подтверждённая проблема безопасности (1) требует внимания.

Контекст установки

Проверьте текущую страницу навыка

Эта страница содержит только сводку доказательств отчёта. Страница Навыка содержит каноническое уведомление об установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

Most flags describe intended proxy operations, Markdown, or protected credential handling; no evidence found of credential harvesting or prompt injection. The opt-in legacy transport branch exposes reusable tokens without encryption. Rotation also invalidates the old token before local storage checks, risking loss of paid access.

Позиция отчета

Последний опубликованный отчёт

«Последний» относится к последовательности отчётов, а не к актуальности артефакта.

Аттестация аудита

Активная аттестация

Для этого точного отчёта доступна публичная аттестация.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

7 Просканировано файлов · 1,367 Проанализировано строк

5 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Коммит и путь привязаны

  2. Артефакт

    Хэши содержимого и дерева привязаны

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 46 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Обнаружено в 30 местах расположения доказательств

Переменные окружения

Может считывать значения из окружения процесса.

Обнаружено в 7 местах расположения доказательств

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 50 местах расположения доказательств

Пункты проверки возможностей (4)
Высокий
scripts/x402socks.sh:414
Hardcoded URL
proxy="http://$exit_id.x402socks.com:3128"
This branch selects an HTTP proxy that receives the reusable authentication token without encryption. Explicit opt-in limits activation but cannot prevent network interception.
Высокий
scripts/x402socks.sh:390
SOCKS proxy
--socks5) mode="socks5" ;;
The opt-in legacy branch sends the reusable proxy token without transport encryption. A network observer can capture it and consume paid access.
Высокий
scripts/x402socks.sh:410
SOCKS proxy
plaintext|socks5)
The opt-in legacy branch sends the reusable proxy token without transport encryption. A network observer can capture it and consume paid access.
Высокий
scripts/x402socks.sh:416
SOCKS proxy
proxy="socks5h://$exit_id.x402socks.com:1080"
The opt-in legacy branch sends the reusable proxy token without transport encryption. A network observer can capture it and consume paid access.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (1)

RISK-001 Средний
scripts/x402socks.sh:346-352scripts/x402socks.sh:96-127scripts/x402socks.sh:129-150
Rotation Invalidates Access Before Local Storage Is Validated
Rotation invalidates the old token before the writer checks directory ownership, permissions, symlinks, or writability. A storage failure discards the one-time replacement and interrupts paid access until wallet-based recovery.
The remote rotation request precedes all writer checks, and the documented API immediately invalidates the old token. Writer errors exit without preserving the replacement.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Высокий
    Opt-in SOCKS5 and plaintext CONNECT expose reusable proxy tokens to network observers.
    Remove public plaintext authentication modes or require an encrypted tunnel to the exit. Keep certificate-verified TLS CONNECT as the supported default.
  2. FIX-002
    Средний
    Token rotation commits remotely before the replacement destination is validated.
    Validate the token directory and reserve a private writable staging file before rotating. Preserve replacement credentials privately if final persistence fails.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
9938f91a9ab0f5763a54332b129295339bf829dd
Хеш содержимого
ced61fec573263b6f1d5775c4ab05005ca68f1e4b5b1b29a885d5d38b47f997f
Хеш дерева
df16939866aea38d963a9cab8979f6e442536fde8f9390072a50fd1412d2ad9e
Путь Skill
skills/x402socks/x402socks
Хеш данных аудита
cb2ac9a881770d71134173d43f1ef08d

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON Подписанное подтверждение аудита CITATION.cff SARIF 2.1.0 Подписанный манифест установки Источник

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: active