Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-81DCBA71

10/28/2026, 5:13:35 PM

feeling-search оценка безопасности v4

Отчёт о сертификации безопасности навыка

История аудитов
Версия сканера 3.0.0 Модель аудита: codex Исторический отчет
Название навыка
feeling-search
Версия
v1.1.2
Сопровождающий
xixi048
Источник
github.com/xixi048/feeling-search-skill/tree/0a9953d0ef3ad6a32bbcdb69672a486e60f35c04/skills/feeling-search
Охват
3 Просканировано файлов · 1,099 Проанализировано строк
Версия политики
skillstore-security-audit-policy-v1

Current license

MIT

Наивысшая серьёзность подтверждённого результата

Средний

Подтверждённая проблема безопасности (1) требует внимания.

Контекст установки

Исторические доказательства

Этот отчёт может не описывать артефакт, доступный для установки в настоящее время. Откройте текущую страницу Навыка для получения рекомендаций по установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

Most alerts are false positives involving Markdown backticks, multilingual prose, ordinary Python indexing, and documented application configuration. Confirmed risks concern quota tokens in GET URLs and token files created without restrictive permissions. Configurable endpoints also lack HTTPS enforcement; no evidence found for prompt injection, obfuscated execution, or deliberate credential exfiltration.

Позиция отчета

Исторический отчет

Откройте историю аудита перед использованием этого отчета для установки.

Аттестация аудита

Аттестация заменена

Существует более новая аттестация.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

3 Просканировано файлов · 1,099 Проанализировано строк

4 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Коммит и путь привязаны

  2. Артефакт

    Хэши содержимого и дерева привязаны

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Не зафиксировано этим аудитом

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 10 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Обнаружено в 8 местах расположения доказательств

Переменные окружения

Может считывать значения из окружения процесса.

Обнаружено в 4 местах расположения доказательств

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 50 местах расположения доказательств

Пункты проверки возможностей (3)
Средний
scripts/fs_api.py:122
Python file write/append
with open(tmp, "w", encoding="utf-8") as fh:
save_quota writes bearer tokens using ordinary open without enforcing private permissions. Under permissive umasks, other local users can read accessible credential files.
Низкий
scripts/fs_api.py:156
Python HTTP libraries
req = urllib.request.Request(url, method="GET")
The GET helper accepts quota_url output containing the bearer token in its query string. Token validation and balance requests expose credentials to URL logging.
Низкий
scripts/fs_api.py:161
Python HTTP libraries
with urllib.request.urlopen(req, timeout=TIMEOUT) as resp:
urlopen transmits GET requests used by quota validation and balance commands. Their URLs include bearer tokens, creating credential exposure through server or proxy logs.

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (1)

RISK-001 Средний
scripts/fs_api.py:75-80scripts/fs_api.py:111-113scripts/fs_api.py:532-548
Quota Credentials Can Be Sent to Insecure Configured Endpoints
env_base accepts FS_API_BASE without HTTPS validation. Quota and image commands reuse saved bearer tokens against that endpoint, exposing credentials over plaintext HTTP.
The code directly concatenates the configured base with authenticated routes without checking its scheme. Exploitation requires an insecure endpoint configuration; the default uses HTTPS.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Средний
    Quota files and temporary files use default permissions, which can expose credentials under permissive umasks.
    Create credential files exclusively with owner-only permissions and private directories; apply equivalent Windows access controls before storing tokens.
  2. FIX-002
    Средний
    FS_API_BASE accepts insecure endpoints while commands automatically reuse saved quota credentials.
    Require HTTPS for authenticated requests and bind saved tokens to their issuing origin; require explicit approval before sending credentials elsewhere.
  3. FIX-003
    Низкий
    Quota balance and token validation requests place bearer tokens in URL query parameters.
    Send quota tokens only through the supported X-FS-Quota header, and redact credentials from request logs and diagnostic output.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
81dcba714ae5ba0c5bcfb8914fb9bc2fbb2bb48a
Хеш содержимого
ed2875354adb6b36f46de3ee80eee89ee14629e79754897c05354dc30d198e93
Хеш дерева
775d3aa9baa8c742eefc90b2a3089529863cc457128e05ed467a227fa207d07b
Путь Skill
skills/xixi048/feeling-search
Хеш данных аудита
8dfa7b07cbaf178d80bfaf4da5f7f2d4

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON Подписанное подтверждение аудита CITATION.cff SARIF 2.1.0 Подписанный манифест установки Источник

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: superseded