中文 EN

扫描报告

扫描新文件

⚠ 低风险 — 风险评分 15/100
上次扫描：10 小时前 重新扫描
15 /100
miliger-qmd-manager
统一的QMD知识库管理技能，集成官方qmd搜索功能和自定义项目管理/测试/内容创作知识管理
QMD知识库管理技能使用execFile执行本地CLI，文档与代码存在小偏差（命令白名单说明不完整），但无恶意行为证据，整体安全。
技能名称miliger-qmd-manager
分析耗时27.8s
引擎pi
✓
可以安装
建议更新SKILL.md中的命令白名单说明以匹配实际代码，补充输入验证逻辑。无需禁止使用。

安全发现 2 项

严重性 安全发现 位置
低危
文档命令白名单与代码不符 文档欺骗
代码注释声称命令白名单为--help/query/search/list，但实际代码还使用status/collection/embed/get/add/multi-get等命令。这不是安全漏洞，但存在文档欺骗。
命令白名单：--help, query, search, list
→ 更新SKILL.md或代码注释，列出完整的命令白名单列表
 index.js:14
低危
未声明的shell执行权限 权限提升
SKILL.md未声明该技能会通过execFile执行本地命令，仅声明使用qmd搜索功能。虽然使用相对安全的execFile而非exec，但应在文档中明确说明。
const { execFile } = require('child_process')
→ 在SKILL.md安全说明部分添加shell:EXEC声明
 index.js:10
资源类型声明权限推断权限状态证据
文件系统 READ READ ✓ 一致 index.js:45-58 通过qmd CLI读取知识库文件
命令执行 NONE EXEC ✗ 越权 index.js:10 使用execFile执行qmd命令，未在SKILL.md声明
1 项发现
🔗
中危 外部 URL 外部 URL
https://clawhub.com/skills/miliger-qmd-manager
README.md:55

目录结构

4 文件 · 12.9 KB · 499 行
Markdown 2f · 287L JavaScript 1f · 179L JSON 1f · 33L
├─ 📜 index.js JavaScript 179L · 5.6 KB
├─ 📋 package.json JSON 33L · 784 B
├─ 📝 README.md Markdown 61L · 1.3 KB
└─ 📝 SKILL.md Markdown 226L · 5.2 KB

依赖分析 1 项

包名版本来源已知漏洞备注
@tobi/qmd N/A external-cli 否 通过bun/npm全局安装的外部CLI工具，非直接依赖

安全亮点

✓ 使用execFile而非exec，避免shell注入风险
✓ 依赖仅来自官方qmd CLI，无第三方恶意依赖
✓ 无凭证收割、网络外传等敏感操作
✓ 使用path.join处理路径，防止路径遍历
✓ 命令参数结构化构建，非直接字符串拼接