中文 EN

扫描报告

扫描新文件

✓ 可信 — 风险评分 5/100
上次扫描：5 小时前 重新扫描
5 /100
welderjustin-imap-smtp-email
Read and send email via IMAP/SMTP. Check for new/unread messages, fetch content, search mailboxes, mark as read/unread, and send emails with attachments.
功能完整、文档与实现一致的合法 IMAP/SMTP 邮件工具，具备完善的路径白名单隔离和凭证保护机制。
技能名称welderjustin-imap-smtp-email
分析耗时32.7s
引擎pi
ClawHub Imap Smtp Email.Disabled v1.0.0 by welderjustin
📥 168
ClawHub 判定 可疑 env_credential_accessllm_suspicious
✓
可以安装
可安全使用。建议在部署时通过环境变量设置 ALLOWED_READ_DIRS 和 ALLOWED_WRITE_DIRS，避免使用默认路径。

安全发现 2 项

严重性 安全发现 位置
低危
第三方依赖版本未完全锁定 供应链
package.json 中 imap-simple:^5.1.0、nodemailer:^7.0.13、mailparser:^3.9.3 使用 ^ 范围版本，存在依赖供应链攻击风险
"imap-simple": "^5.1.0"
→ 建议使用固定版本号（如 imap-simple: 5.1.0）并定期审查依赖树
 package.json:16
低危
setup.sh 交互式收集凭证写入 .env 凭证窃取
setup.sh 通过 read -s 交互式收集 IMAP_PASS/SMTP_PASS 并写入 .env 文件，凭证以明文存储在磁盘。若攻击者获得机器访问权限可读取。
read -s -p "Password / App Password: " PASSWORD
→ 建议通过环境变量注入凭证，或使用密钥管理服务（KMS），避免明文写入文件
 setup.sh:90
资源类型声明权限推断权限状态证据
网络访问 READ READ ✓ 一致 scripts/imap.js:connect() 连接 IMAP 服务器; scripts/smtp.js:sendEmail() 通过 SMTP 发送邮件
文件系统 NONE READ+WRITE ✓ 一致
环境变量 READ READ ✓ 一致 仅读取 IMAP_HOST/USER/PASS、SMTP_HOST/USER/PASS 等邮件配置变量，无凭证外泄
命令执行 NONE READ ✓ 一致
4 项发现
🔗
中危 外部 URL 外部 URL
https://myaccount.google.com/apppasswords
SKILL.md:66
📧
提示 邮箱 邮箱地址
[email protected]
SKILL.md:33
📧
提示 邮箱 邮箱地址
[email protected]
SKILL.md:43
📧
提示 邮箱 邮箱地址
[email protected]
scripts/imap.js:48

目录结构

6 文件 · 33.8 KB · 1268 行
JavaScript 2f · 822L Markdown 1f · 211L Shell 1f · 199L JSON 2f · 36L
├─ ▾ 📁 scripts
│ ├─ 📜 imap.js JavaScript 588L · 15.1 KB
│ └─ 📜 smtp.js JavaScript 234L · 6.5 KB
├─ 📋 _meta.json JSON 5L · 134 B
├─ 📋 package.json JSON 31L · 764 B
├─ 🔧 setup.sh Shell 199L · 4.8 KB
└─ 📝 SKILL.md Markdown 211L · 6.6 KB

依赖分析 5 项

包名版本来源已知漏洞备注
imap ^0.8.19 npm 否 已发布但维护不活跃的最后版本
imap-simple ^5.1.0 npm 否 范围版本，建议固定版本
mailparser ^3.9.3 npm 否 范围版本，建议固定版本
nodemailer ^7.0.13 npm 否 成熟稳定的邮件发送库
dotenv ^16.6.1 npm 否 范围版本，建议固定版本

安全亮点

✓ 完整的文件路径白名单隔离：ALLOWED_READ_DIRS 和 ALLOWED_WRITE_DIRS 防止路径遍历攻击
✓ sanitizeFilename() 防止 ../ 路径遍历写入
✓ 凭证仅用于本地 IMAP/SMTP 连接，无外传行为
✓ 网络连接仅限配置的 IMAP/SMTP 服务器，无其他出站连接
✓ 代码结构清晰，无 Base64 编码、eval、shell 管道等可疑模式
✓ IMAP/SMTP 配置与文档完全一致，无阴影功能
✓ 凭证读取后明文内存使用，未尝试写入进程外存储