中文 EN

扫描报告

扫描新文件

⚠ 可疑 — 风险评分 40/100
上次扫描：10 小时前 重新扫描
40 /100
agent-kanban
OpenClaw Agent Dashboard - Bloomberg Terminal风格界面，实时监控Agent状态、会话历史和文件大小
Agent 监控面板工具，存在硬编码 Gateway Token 和依赖版本未锁定问题，但功能本身是合法的本地监控工具，无外部数据外泄证据
技能名称agent-kanban
分析耗时40.9s
引擎pi
⚠
谨慎使用
移除 config.js 中的硬编码 token，升级 express 版本锁定，建议将敏感配置完全外部化

安全发现 3 项

严重性 安全发现 位置
高危
硬编码 Gateway Token 凭证窃取
config.js 中硬编码了真实的 Gateway Token (c80aa67f773b3045792ba7afbf2e22fc09cb7b37c63019e3)，敏感凭证存储在代码中而非环境变量或配置文件
token: 'c80aa67f773b3045792ba7afbf2e22fc09cb7b37c63019e3'
→ 将 token 字段设为空字符串或移除，强制从 openclaw.json 读取，添加注释说明配置方法
 assets/agent-kanban/config.js:36
中危
Express 依赖版本未锁定 供应链
package.json 中 express 版本为 ^4.18.2，使用 caret 允许次版本升级，可能引入恶意版本
"express": "^4.18.2"
→ 锁定具体版本如 4.18.2，定期检查安全公告
 assets/agent-kanban/package.json:10
中危
文档声明与实现不符 文档欺骗
SKILL.md 声称 'Gateway Token is auto-loaded from ~/.openclaw/openclaw.json - no manual configuration required'，但 config.js 中存在硬编码 token，可能误导用户认为不需要配置
**Gateway Token is auto-loaded from `~/.openclaw/openclaw.json`** - no manual configuration required!
→ 更新文档说明：开发环境使用 config.local.js，生产环境应从 openclaw.json 读取
 SKILL.md:72
资源类型声明权限推断权限状态证据
文件系统 READ READ ✓ 一致 server.js:116 读取 openclaw.json，server.js:195 读取 agent workspace 文件
网络访问 READ READ ✓ 一致 server.js:56 访问 Gateway API (127.0.0.1:18789)，仅本地通信
命令执行 NONE NONE — 无 shell 执行代码，仅通过 Gateway API 通信
环境变量 NONE NONE — 仅读取 HOME 环境变量用于拼接路径，无敏感环境变量访问
凭证 NONE WRITE ✗ 越权 config.js:36 硬编码 Gateway Token，凭证被写入代码文件
6 项发现
🔗
中危 外部 URL 外部 URL
http://127.0.0.1:18789
SKILL.md:72
🔗
中危 外部 URL 外部 URL
https://registry.npmmirror.com/react/18/files/umd/react.production.min.js
assets/agent-kanban/public/index.html:411
🔗
中危 外部 URL 外部 URL
https://registry.npmmirror.com/react-dom/18/files/umd/react-dom.production.min.js
assets/agent-kanban/public/index.html:412
🔗
中危 外部 URL 外部 URL
https://api.dicebear.com/7.x/pixel-art/svg?seed=$
assets/agent-kanban/public/index.html:434
🔗
中危 外部 URL 外部 URL
https://img.shields.io/badge/style-Bloomberg%20Terminal-orange
references/README.md:5
🔗
中危 外部 URL 外部 URL
http://127.0.0.1:18789/tools/invoke
references/README.md:139

目录结构

6 文件 · 56.5 KB · 1863 行
HTML 1f · 1098L Markdown 2f · 403L JavaScript 2f · 350L JSON 1f · 12L
├─ ▾ 📁 assets
│ └─ ▾ 📁 agent-kanban
│ ├─ ▾ 📁 public
│ │ └─ 📄 index.html HTML 1098L · 36.2 KB
│ ├─ 📜 config.js JavaScript 51L · 1.2 KB
│ ├─ 📋 package.json JSON 12L · 271 B
│ └─ 📜 server.js JavaScript 299L · 8.8 KB
├─ ▾ 📁 references
│ └─ 📝 README.md Markdown 198L · 4.3 KB
└─ 📝 SKILL.md Markdown 205L · 5.7 KB

依赖分析 1 项

包名版本来源已知漏洞备注
express ^4.18.2 npm 否 版本未锁定，使用 caret 允许升级

安全亮点

✓ 功能定位清晰 - Agent 监控面板，合法用途
✓ 无外部数据外泄 - 所有网络请求仅访问本地 Gateway
✓ 无代码混淆 - 代码清晰可读，无 base64 编码或混淆
✓ 无 shell 执行 - 不执行外部命令，安全性高
✓ 无反分析技术 - 无反调试或反虚拟机检测
✓ 无持久化后门 - 无计划任务或开机启动配置