skilly.
All skills
Security / AGENT SKILL

security-deps

Vitammiin/agent-vorcl-flow
0 installs 2 GitHub stars
0

Аудит зависимостей — npm audit / lock-файлы: CVE с severity, какие обновления ломающие. Use when нужно проверить пакеты на уязвимости перед релизом/обновлением; уязвимости своего…
Аудит зависимостей — npm audit / lock-файлы: CVE с severity, какие обновления ломающие. Use when нужно проверить пакеты на уязвимости перед релизом/обновлением; уязвимости своего кода — /security:owasp (security)

Low community score

security-deps: This skill has a community score below −5, meaning it has received more downvotes than upvotes. Review its source and assessment before installing. Community votes are not a security review.
BEFORE YOU INSTALL

Understand the trade-offs.

SECURITY REVIEW

Not yet assessed

Review the original instructions and requested permissions before installing.

No security review is available for this catalog entry yet.

SKILL QUALITY

Not yet assessed

How clearly the skill guides your agent, how complete its workflow is, and how you can check the outcome.

No quality assessment is available for this catalog entry yet.

The full skill.

Original instructions from the publisher’s SKILL.md

<!-- generated by scripts/generate-codex-skills.mjs; edit canonical agents/, commands/ or skills/ -->

Проведи аудит зависимостей (**read-only**): **запрос пользователя**.

1. Найди все `package.json` + lock-файлы (`package-lock.json`/`pnpm-lock.yaml`/`yarn.lock`) — в монорепо аудит по каждому воркспейсу.
2. Прогони `npm audit --json` (или `pnpm audit`/`yarn npm audit` по менеджеру lock-файла). Если реестр недоступен/офлайн — честно скажи, что CVE-проверка не выполнена, и ограничься разбором lock-файла (устаревшие мажоры, заброшенные пакеты); «уязвимостей нет» без прогона не заявляй.
3. Для каждой CVE: пакет, версия, severity из advisory, прямой или транзитивный путь (`npm ls <pkg>`), достижим ли уязвимый код в проекте (dev-only и недостижимые пути — пометь как вероятный false positive, не смешивай с реальными).
4. Оцени фикс: есть ли патч-версия; `npm audit fix` хватит или нужен major bump (ломающее обновление — отдельная задача с изучением changelog); для транзитивных без фикса — `overrides` в `package.json` как временная мера.
5. Каждая находка: пакет@версия, CVE/advisory-ID, severity, путь зависимости, рекомендованное обновление + ломающее ли оно.

Пустой **запрос пользователя** — корень репозитория и все воркспейсы. Ничего не устанавливай и не обновляй — только анализ; значимое — в отчёт с владельцами `$backend`/`$frontend`. В финале — вывод `npm audit` (сводка) как доказательство.

Опирайся на навыки `security-audit`, `workflow` (Task Master skill — только если пользователь явно выбрал этот трекер). Делегируй субагенту `$security`.