中文 EN

Scan Report

Scan New Files

⚠ Suspicious — Risk Score 40/100
Last scan:9 hr ago Rescan
40 /100
agent-kanban
OpenClaw Agent Dashboard - Bloomberg Terminal风格界面，实时监控Agent状态、会话历史和文件大小
Agent 监控面板工具，存在硬编码 Gateway Token 和依赖版本未锁定问题，但功能本身是合法的本地监控工具，无外部数据外泄证据
Skill Nameagent-kanban
Duration40.9s
Enginepi
⚠
Use with caution
移除 config.js 中的硬编码 token，升级 express 版本锁定，建议将敏感配置完全外部化

Findings 3 items

Severity Finding Location
High
硬编码 Gateway Token Credential Theft
config.js 中硬编码了真实的 Gateway Token (c80aa67f773b3045792ba7afbf2e22fc09cb7b37c63019e3)，敏感凭证存储在代码中而非环境变量或配置文件
token: 'c80aa67f773b3045792ba7afbf2e22fc09cb7b37c63019e3'
→ 将 token 字段设为空字符串或移除，强制从 openclaw.json 读取，添加注释说明配置方法
 assets/agent-kanban/config.js:36
Medium
Express 依赖版本未锁定 Supply Chain
package.json 中 express 版本为 ^4.18.2，使用 caret 允许次版本升级，可能引入恶意版本
"express": "^4.18.2"
→ 锁定具体版本如 4.18.2，定期检查安全公告
 assets/agent-kanban/package.json:10
Medium
文档声明与实现不符 Doc Mismatch
SKILL.md 声称 'Gateway Token is auto-loaded from ~/.openclaw/openclaw.json - no manual configuration required'，但 config.js 中存在硬编码 token，可能误导用户认为不需要配置
**Gateway Token is auto-loaded from `~/.openclaw/openclaw.json`** - no manual configuration required!
→ 更新文档说明：开发环境使用 config.local.js，生产环境应从 openclaw.json 读取
 SKILL.md:72
ResourceDeclaredInferredStatusEvidence
Filesystem READ READ ✓ Aligned server.js:116 读取 openclaw.json，server.js:195 读取 agent workspace 文件
Network READ READ ✓ Aligned server.js:56 访问 Gateway API (127.0.0.1:18789)，仅本地通信
Shell NONE NONE — 无 shell 执行代码，仅通过 Gateway API 通信
Environment NONE NONE — 仅读取 HOME 环境变量用于拼接路径，无敏感环境变量访问
credential NONE WRITE ✗ Violation config.js:36 硬编码 Gateway Token，凭证被写入代码文件
6 findings
🔗
Medium External URL 外部 URL
http://127.0.0.1:18789
SKILL.md:72
🔗
Medium External URL 外部 URL
https://registry.npmmirror.com/react/18/files/umd/react.production.min.js
assets/agent-kanban/public/index.html:411
🔗
Medium External URL 外部 URL
https://registry.npmmirror.com/react-dom/18/files/umd/react-dom.production.min.js
assets/agent-kanban/public/index.html:412
🔗
Medium External URL 外部 URL
https://api.dicebear.com/7.x/pixel-art/svg?seed=$
assets/agent-kanban/public/index.html:434
🔗
Medium External URL 外部 URL
https://img.shields.io/badge/style-Bloomberg%20Terminal-orange
references/README.md:5
🔗
Medium External URL 外部 URL
http://127.0.0.1:18789/tools/invoke
references/README.md:139

File Tree

6 files · 56.5 KB · 1863 lines
HTML 1f · 1098L Markdown 2f · 403L JavaScript 2f · 350L JSON 1f · 12L
├─ ▾ 📁 assets
│ └─ ▾ 📁 agent-kanban
│ ├─ ▾ 📁 public
│ │ └─ 📄 index.html HTML 1098L · 36.2 KB
│ ├─ 📜 config.js JavaScript 51L · 1.2 KB
│ ├─ 📋 package.json JSON 12L · 271 B
│ └─ 📜 server.js JavaScript 299L · 8.8 KB
├─ ▾ 📁 references
│ └─ 📝 README.md Markdown 198L · 4.3 KB
└─ 📝 SKILL.md Markdown 205L · 5.7 KB

Dependencies 1 items

PackageVersionSourceKnown VulnsNotes
express ^4.18.2 npm No 版本未锁定，使用 caret 允许升级

Security Positives

✓ 功能定位清晰 - Agent 监控面板，合法用途
✓ 无外部数据外泄 - 所有网络请求仅访问本地 Gateway
✓ 无代码混淆 - 代码清晰可读，无 base64 编码或混淆
✓ 无 shell 执行 - 不执行外部命令，安全性高
✓ 无反分析技术 - 无反调试或反虚拟机检测
✓ 无持久化后门 - 无计划任务或开机启动配置