registry / @7n/rules / 1.37.0

@7n/rules@1.37.0

Static Scan Results

scanned 5h ago · by rust-scanner

Static analysis flagged 13 finding(s) at 72.0% confidence. This version is warn-only unless an AI or security-team review confirms malicious behavior.

Static reason

One or more suspicious static signals were detected.

Decision evidence

public snapshot

Behavioral surface

Source

ChildProcessCryptoDynamicRequireEnvironmentVarsFilesystemNetworkShell

Supply chain

HighEntropyStringsUrlStrings

ManifestNo manifest risk signals triggered.

scanned 211 file(s), 1.72 MB of source, external domains: api.github.com, blueoakcouncil.org, brew.sh, datreeio.github.io, git.io, github.com, json.schemastore.org, kubernetes.io, pypi.org, raw.githubusercontent.com, registry.npmjs.org, scoop.sh, unpkg.com

Source & flagged code

5 flagged

bin/n-rules.jsView file

Lines 48-88javascript

48 *

49 * Composite GitHub Action `.github/actions/setup-bun-deps/action.yml` копіюється з каталогу

50 * `github-actions/` пакету при кожному успішному синку (workflows з правил ga / js-lint / text).

51 *

52 * Skills копіюються з npm/skills пакету лише для id з масиву «skills» у .n-rules.json

53 * (у JSON — без префікса, як імена каталогів у rules/ без n-). У пакеті джерело — каталоги

54 * skills/<id>/ (без префікса); у проєкті — .cursor/skills/n-<id>/ (префікс n-, як n-*.mdc).

55 * Якщо ключа skills немає, за замовчуванням підтягуються всі підкаталоги skills/ (лише імена без префікса n-).

56 * Зайві каталоги n-* у .cursor/skills, яких немає у списку, видаляються.

57 * Файл `auto.md` у скілі — джерело правди для auto-skills у CLI (`scripts/auto-skills.mjs`)

58 * і у проєкт не копіюється; раніше синхронізовані `auto.md` у `.cursor/skills/n-<id>/` CLI

59 * не чіпає — їх потрібно прибрати вручну.

60 *

61 * Якщо в корені є package.json і в ньому ще немає \@7n/rules у devDependencies (і не оголошено

62 * в dependencies), CLI дописує devDependencies з діапазоном ^<version> поточного пакету — зручно після npx.

63 *

64 * Перед копіюванням правил (режим без підкоманди): оновлення \@7n/rules у package.json до

65 * останньої версії з npm (крім workspace:/file:/link: тощо), `bun i`, далі файли беруться з

66 * `node_modules/@7n/rules`, якщо пакет з’явився після встановлення.

67 */

69import { spawnSync } from 'node:child_process'

70import { existsSync } from 'node:fs'

High

Child Process

Package source references child process execution.

bin/n-rules.jsView on unpkg · L68

71import { mkdir, readdir, readFile, rename, rm, unlink, writeFile } from 'node:fs/promises'

72import { basename, dirname, join, resolve } from 'node:path'

73import { cwd, env } from 'node:process'

74import { fileURLToPath } from 'node:url'

76import { buildAgentsCommandBulletItems } from '../scripts/build-agents-commands.mjs'

77import { formatGeneratedMarkdownLines, renderAgentsTemplate } from '../scripts/lib/generated-markdown.mjs'

78import { appendDiscoveredMdcFiles, inlineTemplateLinks } from '../scripts/lib/inline-template-links.mjs'

79import {

80 detectAutoRules,

81 detectLegacyRuleIds,

82 mergeConfigWithAutoDetected,

83 normalizeIdList,

84 RULE_MIGRATIONS

85} from '../scripts/auto-rules.mjs'

86import { detectAutoSkills } from '../scripts/auto-skills.mjs'

87import {

88 bringChangesBackToOriginal,

Lines 1754-1794javascript

1754 // оркестратор сам робить self-upgrade devDependency вже ВСЕРЕДИНІ

1755 // щойно створеного worktree, після власного гейту чистоти.

1756 const skipDevDepsEnsure = command === 'skill' && isTazeOrchestratorSkillArgs(args)

1757 if (command !== 'ci'

scripts/lib/resolve-plugins.mjsView file

Lines 1-35javascript

1/**

2 * Резолв плагінів `@7n/rules`: які пакети-плагіни активні у проєкті, де їхні `rules/`,

3 * які capabilities вони дають і які handlers надають.

4 *

5 * Джерело правди — поле `plugins: string[]` у `.n-rules.json`. Явний `[]` = «плагіни

6 * вимкнено» (автодетект не застосовується). Якщо поля немає взагалі — повний автодетект

7 * (`detectPluginsFromRepo`). Якщо `plugins` непорожній і складається **виключно** з пакетів

8 * за конвенцією `@7n/rules-<category>-<name>` (напр. `ci`, `lang`) — автодетект домішує

9 * лише ті категорії, яких у списку немає (ADR `260719-2154-per-category-автодетект-плагінів`);

.claude-template/hooks/normalize-decisions.shView file

•path = .claude-template/hooks/normalize-decisions.sh kind = payload_in_excluded_dir sizeBytes = 24519 magicHex = [redacted]

High

Payload In Excluded Dir

Package hides binary, compressed, or executable-looking payloads in test/fixture/hidden paths.

.claude-template/hooks/normalize-decisions.shView on unpkg

•path = .claude-template/hooks/normalize-decisions.sh kind = build_helper sizeBytes = 24519 magicHex = [redacted]

Medium

Ships Build Helper

Package ships non-JavaScript build or shell helper files.

.claude-template/hooks/normalize-decisions.shView on unpkg

Source & flagged code

5 flagged · loading source

bin/n-rules.jsView file

68L69: import { spawnSync } from 'node:child_process' L70: import { existsSync } from 'node:fs'

High

Child Process

Package source references child process execution.

bin/n-rules.jsView on unpkg · L68

1774// --stop Stop: робоче дерево vs HEAD L1775: const { runHookCli } = await import('../scripts/hook.mjs') L1776: process.exitCode = await runHookCli(args)

Medium

Dynamic Require

Package source references dynamic require/import behavior.

bin/n-rules.jsView on unpkg · L1774

scripts/lib/resolve-plugins.mjsView file

15* L16: * Установка: `ensurePluginInstalled` — плагін стає devDependency через `bun add -d` (bun сам L17: * резолвить актуальну версію; зміна видима у diff package.json). Фейл установки (offline, ... L27: import { existsSync, readdirSync, readFileSync } from 'node:fs' L28: import { spawnSync } from 'node:child_process' L29: import { join, resolve } from 'node:path'

High

Findings

4 High5 Medium4 Low

HighChild Processbin/n-rules.js

HighShell

HighRuntime Package Installscripts/lib/resolve-plugins.mjs

HighPayload In Excluded Dir.claude-template/hooks/normalize-decisions.sh

MediumDynamic Requirebin/n-rules.js

MediumNetwork

MediumEnvironment Vars

MediumShips Build Helper.claude-template/hooks/normalize-decisions.sh

MediumStructural Risk Force Deep Review

LowScripts Present

LowFilesystem

LowHigh Entropy Strings

LowUrl Strings