中文 EN

扫描报告

扫描新文件

⚠ 低风险 — 风险评分 18/100
上次扫描：5 小时前 重新扫描
18 /100
chrome-cdp-skill
让AI agent访问已打开的Chrome标签页，通过Chrome远程调试协议(CDP)连接已有Chrome会话
chrome-cdp-skill 是合法的Chrome浏览器远程调试工具，代码行为与声明一致，无阴影功能或凭证窃取行为。
技能名称chrome-cdp-skill
分析耗时34.8s
引擎pi
ClawHub chrome-cdp v1.0.0 by adminlove520
📥 516 📦 9 ⭐ 1
ClawHub 判定 可疑 dangerous_execllm_suspiciousvt_suspicious
✓
可以安装
可正常使用。主要风险为 evaluate() 函数可执行任意JavaScript，建议仅在可信环境下使用。

安全发现 2 项

严重性 安全发现 位置
中危
evaluate() 可在页面执行任意JavaScript 代码执行
index.js 的 evaluate() 函数通过 CDP 在页面上下文中执行任意 JavaScript expression，理论上可被用于操纵页面内容或提取敏感信息。
const result = cdp('eval', [targetId, expression]);
→ 这是CDP工具的固有功能，非恶意行为，但使用前需确保目标页面可信。注意：任何已登录页面的数据访问都属于正常功能范围。
 index.js:139
低危
所有操作可见性高 权限提升
所有浏览器操作都在用户可见的Chrome窗口中进行，无隐藏执行窗口或后台进程。
execSync(cmd.join(' '), {...})
→ 这是安全特性，不是问题。透明度高有利于审计。
 index.js:33
资源类型声明权限推断权限状态证据
命令执行 WRITE WRITE ✓ 一致 index.js:33 execSync调用node scripts/cdp.mjs
浏览器 WRITE WRITE ✓ 一致 index.js:39-170 所有函数通过CDP协议控制Chrome
网络访问 READ READ ✓ 一致 SKILL.md:76 声明连接本地Chrome调试端口
文件系统 NONE NONE — 代码未访问本地文件系统，截图仅存/tmp
环境变量 NONE NONE — 代码未遍历或读取环境变量
1 项发现
🔗
中危 外部 URL 外部 URL
https://mail.google.com/...
SKILL.md:76

目录结构

4 文件 · 9.1 KB · 388 行
Markdown 2f · 184L JavaScript 1f · 176L JSON 1f · 28L
├─ 📋 _meta.json JSON 28L · 885 B
├─ 📜 index.js JavaScript 176L · 4.2 KB
├─ 📝 README.md Markdown 60L · 1.2 KB
└─ 📝 SKILL.md Markdown 124L · 2.8 KB

依赖分析 2 项

包名版本来源已知漏洞备注
node >=22.0.0 system 否 仅需Node.js运行时，无npm依赖
chrome-cdp external git clone 否 外部依赖scripts/cdp.mjs，由用户主动安装

安全亮点

✓ 声明能力与实际代码完全一致，无阴影功能
✓ 无凭证收割、环境变量遍历等恶意行为
✓ 无外部网络请求（仅连接本地Chrome调试端口）
✓ 无base64编码、混淆等反分析特征
✓ 无隐藏脚本或后门代码
✓ 代码结构清晰，易于审计