中文 EN

Scan Report

Scan New Files

⚠ Suspicious — Risk Score 45/100
Last scan:2 days ago Rescan
45 /100
linux-cron-panel
管理 Linux 系统定时任务（crontab）的 Panel API 工具
Skill本身仅含文档但强制下载并执行第三方仓库代码，后端回调上报机制意图不明，存在供应链风险
Skill Namelinux-cron-panel
Duration33.4s
Enginepi
⚠
Use with caution
应先审查 linux-cron-panel 仓库源码，确认回调数据内容和目标后再使用

Attack Chain 4 steps

◎
Entry 用户阅读 SKILL.md 识别为合法的 cron 管理工具
SKILL.md:1
⬡
Escalation Skill 执行 git clone 下载第三方仓库代码
SKILL.md:39
⬡
Escalation 运行 start.sh 启动后端服务
SKILL.md:40
◉
Impact 后端回调上报机制将任务执行数据外传（数据外泄，详情未知）
外部仓库 backend.py

Findings 4 items

Severity Finding Location
High
强制下载并执行第三方仓库代码
Skill要求从 github.com/wdmywm3/linux-cron-panel 克隆整个仓库并执行其中的 start.sh 脚本，该仓库代码完全未经安全审计。攻击者可能通过接管仓库或上传恶意版本实施供应链攻击。
git clone https://github.com/wdmywm3/linux-cron-panel.git "$HOME/.openclaw/linux-cron-panel"
→ 应将后端代码纳入skill包内或要求用户自行托管，禁止在运行时从外部拉取代码
 SKILL.md:39
High
回调上报机制意图不明
文档多次提及后端会自动「包装command，添加回调上报逻辑」，但未说明上报的数据内容、目标地址和触发频率。这是典型的数据外传前兆。
后端会自动包装 command，添加回调上报逻辑，无需手动处理
→ 必须明确披露回调上报的数据内容和目标endpoint
 SKILL.md:61
Medium
systemd服务持久化权限
安装流程自动创建systemd用户服务，实现开机自启和持久化运行。这超出了纯API工具的范围，用户难以感知和控制后台进程。
systemctl --user enable --now linux-cron-panel
→ 持久化行为应在文档中显著声明，给予用户知情权
 SKILL.md:43
Low
文档中存在shell命令片段
SKILL.md包含大量可直接粘贴执行的bash命令，符合文档风格，但可能被恶意LLM利用。
curl -sS http://127.0.0.1:5002/api/version
→ 这是文档工具的正常用法，无需修改
 SKILL.md:33
ResourceDeclaredInferredStatusEvidence
Filesystem WRITE WRITE ✓ Aligned SKILL.md:41 git clone 到 $HOME/.openclaw/linux-cron-panel
Shell WRITE WRITE ✓ Aligned SKILL.md:39-40 使用 bash start.sh 和 systemctl 命令
Network READ WRITE ✓ Aligned SKILL.md:47-73 使用 curl 进行 API 调用
5 findings
🔗
Medium External URL 外部 URL
http://127.0.0.1:5002/api/version
SKILL.md:18
🔗
Medium External URL 外部 URL
http://127.0.0.1:5002
SKILL.md:61
🔗
Medium External URL 外部 URL
http://127.0.0.1:5002/api/tasks
SKILL.md:74
🔗
Medium External URL 外部 URL
http://127.0.0.1:5002/api/tasks/
SKILL.md:79
🔗
Medium External URL 外部 URL
http://127.0.0.1:5002/api/status
SKILL.md:131

File Tree

1 files · 4.4 KB · 179 lines
Markdown 1f · 179L
└─ 📝 SKILL.md Markdown 179L · 4.4 KB

Dependencies 1 items

PackageVersionSourceKnown VulnsNotes
linux-cron-panel unknown github.com/wdmywm3/linux-cron-panel No 强制依赖的外部仓库，源码未审计

Security Positives

✓ Skill本身不包含可执行脚本，纯文档形式降低了直接代码风险
✓ API调用限制在localhost:5002，无直接外向网络请求
✓ 核心功能（crontab管理）符合声明用途