中文 EN

Scan Report

Scan New Files

This report was generated in Chinese. Some content may be in Chinese.
✓ Trusted — Risk Score 10/100
Last scan:4 hr ago Rescan
10 /100
html-markdown-converter
HTML ↔ Markdown 双向转换工具，支持文件/URL/批量处理
HTML/Markdown双向转换工具，代码透明、功能单一，无恶意行为发现，供应链管理存在轻微宽松但不影响安全性。
Skill Namehtml-markdown-converter
Duration40.2s
Enginepi
ClawHub Html Markdown Converter v1.1.4 by wangziiiiii
📥 255 📦 1 ⭐ 1
ClawHub Verdict Suspicious dangerous_execllm_suspiciouspotential_exfiltration
✓
Safe to install
可安全使用。建议将依赖版本锁定以减少供应链风险。

Findings 2 items

Severity Finding Location
Low
依赖版本未锁定 Supply Chain
package.json 所有依赖使用 ^x.x.x 语义化版本范围，存在潜在供应链风险（恶意版本注入）
"@mozilla/readability": "^0.5.0"
→ 建议固定版本号（如 0.5.0 而非 ^0.5.0）或使用 lock 文件确保依赖一致性
 package.json:12
Info
外部参考链接 Doc Mismatch
SKILL.md 末尾引用了 jisuapi.com 和 jisuepc.com 作为汽车数据相关场景的参考站点
https://jisuapi.com
→ 确认为正常业务参考链接，非恶意行为
 SKILL.md:129
ResourceDeclaredInferredStatusEvidence
Filesystem WRITE WRITE ✓ Aligned SKILL.md:24-27 声明文件读写，scripts/html_to_markdown.mjs:163-167 实现
Network READ READ ✓ Aligned SKILL.md:18 声明支持 URL 输入，scripts/html_to_markdown.mjs:193-199 fetch 实现
Shell NONE WRITE ✓ Aligned scripts/html_to_markdown.mjs:306 仅在 --engine pandoc 时调用 spawn
Environment NONE NONE — 无环境变量访问代码
Clipboard NONE NONE — 无剪贴板访问
Browser NONE NONE — 无浏览器自动化
Database NONE NONE — 无数据库访问
2 findings
🔗
Medium External URL 外部 URL
https://jisuapi.com
SKILL.md:129
🔗
Medium External URL 外部 URL
https://jisuepc.com
SKILL.md:130

File Tree

5 files · 31.6 KB · 973 lines
JavaScript 2f · 786L Markdown 2f · 166L JSON 1f · 21L
├─ ▾ 📁 references
│ └─ 📝 profiles.md Markdown 32L · 1.0 KB
├─ ▾ 📁 scripts
│ ├─ 📜 html_to_markdown.mjs JavaScript 620L · 20.5 KB
│ └─ 📜 markdown_to_html.mjs JavaScript 166L · 6.0 KB
├─ 📋 package.json JSON 21L · 687 B
└─ 📝 SKILL.md Markdown 134L · 3.5 KB

Dependencies 6 items

PackageVersionSourceKnown VulnsNotes
jsdom ^26.0.0 npm No 版本范围宽泛
@mozilla/readability ^0.5.0 npm No 版本范围宽泛
turndown ^7.2.0 npm No 版本范围宽泛
markdown-it ^14.1.0 npm No 版本范围宽泛
gray-matter ^4.0.3 npm No 版本范围宽泛
turndown-plugin-gfm ^1.0.2 npm No 版本范围宽泛

Security Positives

✓ 代码结构清晰，两个脚本行数虽多但逻辑简单可审计
✓ 无环境变量遍历、无敏感路径访问、无凭证收割
✓ 无 Base64/eval/动态代码执行
✓ 无未声明的网络外传行为
✓ 使用成熟开源库（Turndown、Readability、markdown-it）
✓ 文档与实现功能高度一致