Loading npm security reports…

@7n/rules@1.12.0: Suspicious npm security report (Warn) | LPM Firewall

registry / @7n/rules / 1.12.0

@7n/rules@1.12.0

CLI еталонних правил і skills (префікс n-): синк у репозиторій, дельта-lint, конформність

Static Scan Results

scanned 2h ago · by rust-scanner

Static analysis flagged 13 finding(s) at 72.0% confidence. This version is warn-only unless an AI or security-team review confirms malicious behavior.

Static reason

One or more suspicious static signals were detected.

Decision evidence

public snapshot

Behavioral surface

Source

ChildProcessCryptoDynamicRequireEnvironmentVarsFilesystemNativeBindingsNetworkShell

Supply chain

HighEntropyStringsUrlStrings

ManifestNo manifest risk signals triggered.

scanned 266 file(s), 2.00 MB of source, external domains: api.github.com, blueoakcouncil.org, brew.sh, bun.com, crates.io, datreeio.github.io, git.io, github.com, json.schemastore.org, kubernetes.io, pypi.org, raw.githubusercontent.com, registry.npmjs.org, scoop.sh, unpkg.com

Source & flagged code

5 flagged

bin/n-rules.jsView file

Lines 44-84javascript

44 *

45 * Composite GitHub Action `.github/actions/setup-bun-deps/action.yml` копіюється з каталогу

46 * `github-actions/` пакету при кожному успішному синку (workflows з правил ga / js-lint / text).

47 *

48 * Skills копіюються з npm/skills пакету лише для id з масиву «skills» у .n-rules.json

49 * (у JSON — без префікса, як імена каталогів у rules/ без n-). У пакеті джерело — каталоги

50 * skills/<id>/ (без префікса); у проєкті — .cursor/skills/n-<id>/ (префікс n-, як n-*.mdc).

51 * Якщо ключа skills немає, за замовчуванням підтягуються всі підкаталоги skills/ (лише імена без префікса n-).

52 * Зайві каталоги n-* у .cursor/skills, яких немає у списку, видаляються.

53 * Файл `auto.md` у скілі — джерело правди для auto-skills у CLI (`scripts/auto-skills.mjs`)

54 * і у проєкт не копіюється; раніше синхронізовані `auto.md` у `.cursor/skills/n-<id>/` CLI

55 * не чіпає — їх потрібно прибрати вручну.

56 *

57 * Якщо в корені є package.json і в ньому ще немає \@7n/rules у devDependencies (і не оголошено

58 * в dependencies), CLI дописує devDependencies з діапазоном ^<version> поточного пакету — зручно після npx.

59 *

60 * Перед копіюванням правил (режим без підкоманди): оновлення \@7n/rules у package.json до

61 * останньої версії з npm (крім workspace:/file:/link: тощо), `bun i`, далі файли беруться з

62 * `node_modules/@7n/rules`, якщо пакет з’явився після встановлення.

63 */

65import { spawnSync } from 'node:child_process'

66import { existsSync } from 'node:fs'

High

Child Process

Package source references child process execution.

bin/n-rules.jsView on unpkg · L64

67import { mkdir, readdir, readFile, rename, rm, unlink, writeFile } from 'node:fs/promises'

68import { basename, dirname, join, resolve } from 'node:path'

69import { cwd, env } from 'node:process'

70import { fileURLToPath } from 'node:url'

72import { buildAgentsCommandBulletItems } from '../scripts/build-agents-commands.mjs'

73import { formatGeneratedMarkdownLines, renderAgentsTemplate } from '../scripts/lib/generated-markdown.mjs'

74import { appendDiscoveredMdcFiles, inlineTemplateLinks } from '../scripts/lib/inline-template-links.mjs'

75import {

76 detectAutoRules,

77 detectLegacyRuleIds,

78 mergeConfigWithAutoDetected,

79 normalizeIdList,

80 RULE_MIGRATIONS

81} from '../scripts/auto-rules.mjs'

82import { detectAutoSkills } from '../scripts/auto-skills.mjs'

83import { readSkillMetaRaw } from '../scripts/lib/skill-meta.mjs'

84import { injectWorktreeNotice } from '../scripts/lib/worktree-notice.mjs'

scripts/smoke-check-imports.mjsView file

Lines 29-67javascript

29 if (!absPath.endsWith('.mjs')) return true

30 if (SKIP_SEGMENTS.some(seg => absPath.includes(seg))) return

scripts/lib/resolve-plugins.mjsView file

Lines 1-29javascript

1/**

2 * Резолв плагінів `@7n/rules`: які пакети-плагіни активні у проєкті, де їхні `rules/`,

3 * які capabilities вони дають і які handlers надають.

4 *

5 * Джерело правди — поле `plugins: string[]` у `.n-rules.json` (завжди перекриває автодетект;

6 * явний `[]` = «плагіни вимкнено»). Якщо поля немає — `detectPluginsFromRepo`: файлові сигнали

7 * (`.github/workflows/*.yml` → `@7n/rules-ci-github`; `azure-pipelines.yml` → `@7n/rules-ci-azure`),

8 * а без них — fallback за `repository.url` кореневого package.json (`github.com` / `dev.azure.com`).

9 *

.claude-template/hooks/normalize-decisions.shView file

•path = .claude-template/hooks/normalize-decisions.sh kind = payload_in_excluded_dir sizeBytes = 24519 magicHex = [redacted]

High

Payload In Excluded Dir

Package hides binary, compressed, or executable-looking payloads in test/fixture/hidden paths.

.claude-template/hooks/normalize-decisions.shView on unpkg

•path = .claude-template/hooks/normalize-decisions.sh kind = build_helper sizeBytes = 24519 magicHex = [redacted]

Medium

Ships Build Helper

Package ships non-JavaScript build or shell helper files.

.claude-template/hooks/normalize-decisions.shView on unpkg

Source & flagged code

5 flagged · loading source

bin/n-rules.jsView file

64L65: import { spawnSync } from 'node:child_process' L66: import { existsSync } from 'node:fs'

High

Child Process

Package source references child process execution.

bin/n-rules.jsView on unpkg · L64

scripts/smoke-check-imports.mjsView file

49// eslint-disable-next-line no-unsanitized/method L50: await import(pathToFileURL(abs).href) L51: } catch (error) {

Medium

Dynamic Require

Package source references dynamic require/import behavior.

scripts/smoke-check-imports.mjsView on unpkg · L49

scripts/lib/resolve-plugins.mjsView file

9* L10: * Установка: `ensurePluginInstalled` — плагін стає devDependency через `bun add -d` (bun сам L11: * резолвить актуальну версію; зміна видима у diff package.json). Фейл установки (offline, ... L21: import { existsSync, readdirSync, readFileSync } from 'node:fs' L22: import { spawnSync } from 'node:child_process' L23: import { join, resolve } from 'node:path'

Findings

4 High5 Medium4 Low

HighChild Processbin/n-rules.js

HighShell

HighRuntime Package Installscripts/lib/resolve-plugins.mjs

HighPayload In Excluded Dir.claude-template/hooks/normalize-decisions.sh

MediumDynamic Requirescripts/smoke-check-imports.mjs

MediumNetwork

MediumEnvironment Vars

MediumShips Build Helper.claude-template/hooks/normalize-decisions.sh

MediumStructural Risk Force Deep Review

LowScripts Present

LowFilesystem

LowHigh Entropy Strings

LowUrl Strings

Source & flagged code

5 flagged

bin/n-rules.jsView file

Lines 44-84javascript

44 *

45 * Composite GitHub Action `.github/actions/setup-bun-deps/action.yml` копіюється з каталогу

46 * `github-actions/` пакету при кожному успішному синку (workflows з правил ga / js-lint / text).

47 *

48 * Skills копіюються з npm/skills пакету лише для id з масиву «skills» у .n-rules.json

49 * (у JSON — без префікса, як імена каталогів у rules/ без n-). У пакеті джерело — каталоги

50 * skills/<id>/ (без префікса); у проєкті — .cursor/skills/n-<id>/ (префікс n-, як n-*.mdc).

51 * Якщо ключа skills немає, за замовчуванням підтягуються всі підкаталоги skills/ (лише імена без префікса n-).

52 * Зайві каталоги n-* у .cursor/skills, яких немає у списку, видаляються.

53 * Файл `auto.md` у скілі — джерело правди для auto-skills у CLI (`scripts/auto-skills.mjs`)

54 * і у проєкт не копіюється; раніше синхронізовані `auto.md` у `.cursor/skills/n-<id>/` CLI

55 * не чіпає — їх потрібно прибрати вручну.

56 *

57 * Якщо в корені є package.json і в ньому ще немає \@7n/rules у devDependencies (і не оголошено

58 * в dependencies), CLI дописує devDependencies з діапазоном ^<version> поточного пакету — зручно після npx.

59 *

60 * Перед копіюванням правил (режим без підкоманди): оновлення \@7n/rules у package.json до

61 * останньої версії з npm (крім workspace:/file:/link: тощо), `bun i`, далі файли беруться з

62 * `node_modules/@7n/rules`, якщо пакет з’явився після встановлення.

63 */

65import { spawnSync } from 'node:child_process'

66import { existsSync } from 'node:fs'

High

Child Process

Package source references child process execution.

bin/n-rules.jsView on unpkg · L64

67import { mkdir, readdir, readFile, rename, rm, unlink, writeFile } from 'node:fs/promises'

68import { basename, dirname, join, resolve } from 'node:path'

69import { cwd, env } from 'node:process'

70import { fileURLToPath } from 'node:url'

72import { buildAgentsCommandBulletItems } from '../scripts/build-agents-commands.mjs'

73import { formatGeneratedMarkdownLines, renderAgentsTemplate } from '../scripts/lib/generated-markdown.mjs'

74import { appendDiscoveredMdcFiles, inlineTemplateLinks } from '../scripts/lib/inline-template-links.mjs'

75import {

76 detectAutoRules,

77 detectLegacyRuleIds,

78 mergeConfigWithAutoDetected,

79 normalizeIdList,

80 RULE_MIGRATIONS

81} from '../scripts/auto-rules.mjs'

82import { detectAutoSkills } from '../scripts/auto-skills.mjs'

83import { readSkillMetaRaw } from '../scripts/lib/skill-meta.mjs'

84import { injectWorktreeNotice } from '../scripts/lib/worktree-notice.mjs'

scripts/smoke-check-imports.mjsView file

Lines 29-67javascript

29 if (!absPath.endsWith('.mjs')) return true

30 if (SKIP_SEGMENTS.some(seg => absPath.includes(seg))) return

scripts/lib/resolve-plugins.mjsView file

Lines 1-29javascript

1/**

2 * Резолв плагінів `@7n/rules`: які пакети-плагіни активні у проєкті, де їхні `rules/`,

3 * які capabilities вони дають і які handlers надають.

4 *

5 * Джерело правди — поле `plugins: string[]` у `.n-rules.json` (завжди перекриває автодетект;

6 * явний `[]` = «плагіни вимкнено»). Якщо поля немає — `detectPluginsFromRepo`: файлові сигнали

7 * (`.github/workflows/*.yml` → `@7n/rules-ci-github`; `azure-pipelines.yml` → `@7n/rules-ci-azure`),

8 * а без них — fallback за `repository.url` кореневого package.json (`github.com` / `dev.azure.com`).

9 *

.claude-template/hooks/normalize-decisions.shView file

•path = .claude-template/hooks/normalize-decisions.sh kind = payload_in_excluded_dir sizeBytes = 24519 magicHex = [redacted]

High

Payload In Excluded Dir

Package hides binary, compressed, or executable-looking payloads in test/fixture/hidden paths.

.claude-template/hooks/normalize-decisions.shView on unpkg

•path = .claude-template/hooks/normalize-decisions.sh kind = build_helper sizeBytes = 24519 magicHex = [redacted]

Medium

Ships Build Helper

Package ships non-JavaScript build or shell helper files.

.claude-template/hooks/normalize-decisions.shView on unpkg