此报告尚无所请求语言的翻译，当前显示规范英文报告。

版本化安全评估

报告编号: SA-47F59DC5

10/5/2026, 4:08:57 AM

oil-ui 安全评估 v2

Skill 安全认证报告

审计历史
扫描器版本 3.0.0 审计模型: codex 最新发布的报告
技能名称
oil-ui
版本
v0.15.5
维护者
oil-oil
来源
github.com/oil-oil/oil-ui/tree/48518fd02946ccbda54cd3544f8bd102413128cf/
覆盖范围
24 已扫描文件 · 3,794 分析行数
策略版本
skillstore-security-audit-policy-v1

已确认问题的最高严重性

高

有 2 个已确认的安全问题需要处理。

安装上下文

请查看当前 Skill 详情页

本页仅汇总报告证据。Skill 详情页提供 canonical install advisory。

打开当前 Skill 详情页

本报告不会阻止或授权 manifest 或 ZIP。

Most alerts are false positives from JavaScript syntax, minified Alpine, image encoding, Chinese documentation, and defensive tests. Confirmed risks concern external updater execution, broad preview-file exposure, stored command execution, and incomplete interactive-preview network isolation. No evidence found of intentional credential exfiltration or instructions to override this audit.

报告位置

最新发布的报告

“最新”仅指报告序列，不代表 artifact 当前有效。

审计证明

有效证明

此精确报告有可公开验证的证明。

人工验证

未进行人工验证

本报告没有人工验证记录。

覆盖范围

24 已扫描文件 · 3,794 分析行数

有 4 项内容需要查看

局限

本报告不声称进行了运行时或沙箱执行，也不证明不存在副作用。

证据链

证据从来源绑定延伸到安装契约。证据可用于验证，但不是安全保证。

  1. 来源

    已绑定 commit 与路径

  2. 构件

    已绑定内容与 tree hash

  3. 审计

    已完成

  4. 安装契约

    打开 manifest 进行验证

    打开 manifest

观察到的能力

“已观察到”表示本报告记录了支持证据；“未记录”不证明该能力不存在。

包含脚本

可能执行 Skill 随附的代码。

在 2 个证据位置观察到

网络访问

可能连接外部服务。

在 45 个证据位置观察到

文件系统访问

可能读取或写入本地文件。

在 42 个证据位置观察到

环境变量

可能读取进程环境中的值。

在 27 个证据位置观察到

外部命令

可能调用 Skill 之外的命令或程序。

在 51 个证据位置观察到

能力复核项 (2)
高
scripts/check_update.py:182
Python subprocess.run
result = subprocess.run([npx, "-y", CLI, "update", name, "--path", str(ROOT), "--json"], env=env,
Explicit --update executes an external npx CLI with user privileges and Oil authorization. Commit pinning and consent reduce, but do not eliminate, supply-chain risk.
中
scripts/shoot.mjs:94
Synchronous file operations
res.end(readFileSync(local));
The server returns any regular file under its preview root without a public-asset allowlist. Page scripts can read unrelated private files within that root.

风险问题

已确认的安全问题与仍需审核的项目分开展示。

已确认安全问题 (2)

RISK-001 高
references/style-explorer.md:48-50references/style-explorer.md:72scripts/build_explorer.py:289-302
Stored Manifest Commands Can Trigger Agent Execution
The reopening workflow tells the agent to execute serve.command from a saved manifest. A modified manifest can substitute arbitrary commands without renewed approval.
The generator accepts any nonempty command, and the reopening instruction executes it. Reusing previously authored commands helps, but saved configuration can change.
RISK-002 中
scripts/build_explorer.py:22-26scripts/build_explorer.py:144-147assets/style-explorer.html:206-208references/style-explorer.md:44
Interactive Preview Navigation Bypasses Claimed Network Isolation
Interactive previews allow scripts and frame navigation. A script can navigate its frame to an external URL despite connect restrictions, exposing preview data in the URL.
The supplied CSP controls resources and forms, not frame navigation. The sandbox permits scripts, so network isolation is incomplete; no exploit was executed.

补救措施

本次审计记录了建议的修复措施。实施这些措施是维护者的责任。

  1. FIX-001
    高
    Explicit updates execute an external CLI that is not included in the audited source.
    Retain explicit consent and commit pinning. Audit and vendor the CLI, verify its integrity before execution, and restrict its filesystem and authorization access.
  2. FIX-002
    高
    Saved manifest commands become executable agent instructions when reopening a comparison.
    Treat saved commands as untrusted data. Show the command and working directory, verify their provenance, and request approval after changes.
  3. FIX-003
    中
    The loopback preview server serves every regular file within its root.
    Serve an explicit public-asset allowlist and reject hidden or sensitive resources. Use a dedicated preview directory without private project files.
  4. FIX-004
    中
    Interactive previews can navigate outside the claimed offline boundary.
    Disable scripts for untrusted candidates. Use a network-blocked browser for interactive previews, or clearly disclose that navigation can make external requests.

专家证据

不可变主体身份、扫描器元数据、已排除匹配项和源码级证据。

Artifact 主体

Marketplace 提交
47f59dc55cb81458b6e112128ee16cf32ef77f31
内容哈希
b0cb831880a5c7b06680c69a1fb58377e3880c6b39f3cac99ebc6dd647b7e05f
目录树哈希
a1ededc25c8944a52727a8d0e2d657af08e24ca8883570b3b2c0a58c9e1085ec
Skill 路径
skills/oil-oil/oil-ui
审计载荷哈希
0a8b43ee1876f952e44388ae71229efc

分析元数据

审计模型: codex

分析状态: 已完成

范围仅限于已记录的文件、行数、方法和证据；本报告不声称进行了运行时或沙箱执行。

验证与导出

JSON 报告 已签名审计证明 CITATION.cff SARIF 2.1.0 已签名安装清单 来源

manifest 和 lockfile 将安装 artifact 绑定到加密哈希。该完整性声明独立于安全评估。

审计证明: active