Community / AGENT SKILL

security-owasp

0 installs 2 GitHub stars

OWASP Top 10 в коде — injection, XSS, broken auth, sensitive exposure, CORS, cookie-флаги в Node/React (роль security, read-only). Use для аудита уязвимостей кода.

One new superpower.

Run this command in your project to choose an agent and install the skill.

npx skillycli add https://github.com/Vitammiin/agent-vorcl-flow --skill security-owaspView original source

BEFORE YOU INSTALL

Understand the trade-offs.

SECURITY REVIEW

Not yet assessed

Review the original instructions and requested permissions before installing.

No security review is available for this catalog entry yet.

SKILL QUALITY

Not yet assessed

How clearly the skill guides your agent, how complete its workflow is, and how you can check the outcome.

No quality assessment is available for this catalog entry yet.

The full skill.

Original instructions from the publisher’s SKILL.md

# Задача: аудит OWASP Top 10

Проведи аудит OWASP Top 10 (**read-only**) по указанной области; без области — весь репозиторий, фронт и бэк раздельно (grep-паттерны — `$security-audit`).

1. **Injection:** интерполяция ввода в SQL, объект из `req.body` в Mongo `find`, `exec`/`spawn` с shell-строкой, `eval`.
2. **XSS:** `dangerouslySetInnerHTML`, `innerHTML =`, `document.write`, `href` из данных без проверки схемы.
3. **Broken auth:** роуты без guard-миддлвары, JWT без `expiresIn`/с `none`, слабые хэши паролей.
4. **Sensitive exposure:** секреты/PII в логах, стектрейсы в HTTP-ответах, сериализация без allowlist (см. `$error-handling`).
5. **CORS/cookie:** `origin: '*'` + credentials, отражение `req.headers.origin`; cookie без `httpOnly`/`secure`/`sameSite`; нет `helmet`.

Каждая находка: `file:line` + цитата, категория, severity, конкретная починка. Проверяй контекст (валидация может жить слоем выше — `$backend-architecture`/`$frontend-architecture`). Ничего не правь; значимое — `add_task` на `$backend`/`$frontend`.