中文 EN

Scan Report

Scan New Files

✓ Trusted — Risk Score 5/100
Last scan:8 hr ago Rescan
5 /100
agency-hq
像素艺术风格AI Agent办公室可视化仪表盘，显示实时状态和活动
这是一个合法的像素艺术可视化工具，代码质量高，所有操作均已在 SKILL.md 中声明，无恶意行为发现。
Skill Nameagency-hq
Duration67.9s
Enginepi
✓
Safe to install
无需阻止，可安全使用。shell:READ 权限用于系统监控（uptime/内存/磁盘），符合声明用途。

Findings 1 items

Severity Finding Location
Low
canvas依赖版本未锁定 Supply Chain
package.json中canvas版本为^3.2.1，存在已知CVE-2022-31261，但该模块仅用于OG图片生成脚本，不在主要执行路径中
"canvas": "^3.2.1"
→ 建议锁定版本："canvas": "3.2.1" 并关注CVE修复
 package.json:19
ResourceDeclaredInferredStatusEvidence
Filesystem READ READ ✓ Aligned activity/route.ts:42-43 仅读取~/.openclaw路径
Shell NONE READ ✓ Aligned stats/route.ts:16-35 execSync执行uptime/free/df等只读命令，status/route.ts:79执行ps aux只读检…
Network NONE NONE — 无网络请求代码
Environment NONE READ ✓ Aligned 读取HOME/OPENCLAW_HOME/VERCEL/ARENA_MODE用于配置，无敏感信息外传
Skill Invoke NONE NONE — 无跨skill调用
Clipboard NONE NONE — 无剪贴板操作
Browser NONE NONE — Next.js服务端渲染应用，无浏览器API调用
Database NONE NONE — SKILL.md明确说明无数据库
3 findings
🔗
Medium External URL 外部 URL
https://vercel.com/button
README.md:123
🔗
Medium External URL 外部 URL
https://vercel.com/new/clone?repository-url=https%3A%2F%2Fgithub.com%2Fenjinstudio%2Fagency-hq
README.md:123
🔗
Medium External URL 外部 URL
https://enjinstudio.com
README.md:198

File Tree

25 files · 155.6 KB · 4415 lines
TypeScript 12f · 3877L Markdown 2f · 295L JavaScript 3f · 113L CSS 1f · 68L JSON 2f · 62L
├─ ▾ 📁 public
│ ├─ 📦 file.svg 391 B
│ ├─ 📦 globe.svg 1.0 KB
│ ├─ 📦 next.svg 1.3 KB
│ ├─ 📦 vercel.svg 128 B
│ └─ 📦 window.svg 385 B
├─ ▾ 📁 scripts
│ └─ 📜 generate-og-image.js JavaScript 88L · 2.3 KB
├─ ▾ 📁 src
│ ├─ ▾ 📁 app
│ │ ├─ ▾ 📁 api
│ │ │ └─ ▾ 📁 agents
│ │ │ ├─ ▾ 📁 activity
│ │ │ │ └─ 📜 route.ts TypeScript 162L · 6.4 KB
│ │ │ ├─ ▾ 📁 mode
│ │ │ │ └─ 📜 route.ts TypeScript 6L · 193 B
│ │ │ ├─ ▾ 📁 stats
│ │ │ │ └─ 📜 route.ts TypeScript 97L · 2.7 KB
│ │ │ └─ ▾ 📁 status
│ │ │ └─ 📜 route.ts TypeScript 158L · 4.8 KB
│ │ ├─ 📄 globals.css CSS 68L · 1.1 KB
│ │ ├─ 📜 layout.tsx TypeScript 33L · 983 B
│ │ └─ 📜 page.tsx TypeScript 270L · 10.8 KB
│ ├─ ▾ 📁 components
│ │ ├─ 📜 ActivityPanel.tsx TypeScript 422L · 17.9 KB
│ │ └─ 📜 PixelOffice.tsx TypeScript 2241L · 75.8 KB
│ └─ ▾ 📁 lib
│ ├─ 📜 agent-chat.ts TypeScript 279L · 8.3 KB
│ ├─ 📜 agents.ts TypeScript 77L · 3.3 KB
│ └─ 📜 demo-data.ts TypeScript 125L · 6.5 KB
├─ 📜 eslint.config.mjs JavaScript 18L · 465 B
├─ 📜 next.config.ts TypeScript 7L · 133 B
├─ 📋 package.json JSON 28L · 582 B
├─ 📜 postcss.config.mjs JavaScript 7L · 94 B
├─ 📝 README.md Markdown 198L · 6.6 KB
├─ 📝 SKILL.md Markdown 97L · 3.1 KB
└─ 📋 tsconfig.json JSON 34L · 670 B

Dependencies 5 items

PackageVersionSourceKnown VulnsNotes
next 16.1.6 npm No 固定版本
react 19.2.3 npm No 固定版本
pixi.js ^8.17.0 npm No 模糊版本可接受
canvas ^3.2.1 npm Yes 存在CVE-2022-31261，建议锁定版本
tailwindcss ^4 npm No 开发依赖

Security Positives

✓ 代码结构清晰，TypeScript类型定义完整
✓ SKILL.md声明与实际行为高度一致
✓ 无凭证收割、Base64解码、远程代码执行等高危操作
✓ Demo模式提供完整功能演示，无需访问真实数据
✓ 权限最小化原则：无数据库、无外部API调用
✓ 错误处理完善，使用try-catch包裹所有文件系统操作
✓ 敏感信息过滤：跳过HEARTBEAT消息，符合隐私保护