registry / @mocoto/mahoraga / 0.14.4

@mocoto/mahoraga@0.14.4

C.L.I modular para análise, diagnóstico e manutenção de projetos JavaScript/TypeScript e multi-stack leve

Static Scan Results

scanned 10h ago · by rust-scanner

Static analysis flagged 13 finding(s) at 72.0% confidence. This version is warn-only unless an AI or security-team review confirms malicious behavior.

Static reason

One or more suspicious static signals were detected.

Decision evidence

public snapshot

Behavioral surface

Source

ChildProcessCryptoDynamicRequireEnvironmentVarsEvalFilesystemNetworkShell

Supply chain

HighEntropyStringsUrlStrings

ManifestNo manifest risk signals triggered.

scanned 1,166 file(s), 3.84 MB of source, external domains: api.github.com, discord.js.org, expressjs.com, github.com, nextjs.org, nodejs.org, raw.githubusercontent.com, react.dev, telegraf.js.org, turborepo.org, www.electronjs.org, www.typescriptlang.org, www.w3.org

Source & flagged code

5 flagged

dist/core/messages/ja/core/plugin-messages.jsView file

Lines 189-230javascript

189 noThemeSystem: 'テーマシステムなし - ThemeProvider の使用を検討してください'

190};

191export const CssInJsCorrecaoMensagens = {

192 description: 'CSS-in-JS 問題の自動修正',

193 correctionSuggested: (tipo) => `修正提案: ${tipo}`,

194 sugestaoFormat: (original, sugerido, confianca) => `[エラー] ${original}\n[OK] ${sugerido}\n信頼度: ${confianca}%`,

195 extractGlobalCss: '// 別のグローバル CSS ファイルに移動することを検討してください'

196};

197// ─── PYTHONメッセージ ──────────────────────────────────────────────

198export const PythonMensagens = {

199 // インポートと依存関係

200 missingTypeHints: '型ヒントのない関数が検出されました。可読性向上のため型ヒントを追加してください。',

201 hardcodedString: (string) => `ハードコードされた文字列が検出されました(${string.slice(0, 30)}...)。定数の使用を検討してください。`,

202 httpWithoutVerify: 'verify=True なしでHTTPリクエストが検出されました。SSL証明書を検証してください。',

203 sqlInjection: 'SQL インジェクションの可能性が検出されました。プリペアドステートメントを使用してください。',

204 // コード品質

205 broadExcept: '汎用例外(except:)が検出されました。具体的に指定してください。',

206 bareRaise: 'コンテキストなしの raise が検出されました。スタックトレースを維持するため、必ず例外を渡してください。',

207 passInExcept: 'except ブロック内の pass。適切なエラー処理を実装してください。',

208 // ベストプラクティス

209 printInsteadOfLog: 'print() が検出されました。本番環境では logging モジュールを優先してください。',

210 evalUsage: 'eval() が検出されました。eval の使用は避けてください - セキュリティ脆弱性。',

211 execUsage: 'exec() が検出されました。exec の使用は避けてください - セキュリティ脆弱性。',

Low

Eval

Package source references a known benign dynamic code generation pattern.

dist/core/messages/ja/core/plugin-messages.jsView on unpkg · L209

212 subprocessShellTrue: 'shell=True の subprocess が検出されました。コマンドインジェクションのリスク。引数リストと shell=False を優先してください。',

High

Child Process

Package source references child process execution.

dist/core/messages/ja/core/plugin-messages.jsView on unpkg · L210

213 pickleUsage: 'pickle load(s) が検出されました。信頼できないデータの逆シリアル化は絶対に行わないでください(RCE)。安全なフォーマット(JSON)を優先してください。',

214 yamlUnsafeLoad: '安全な Loader なしで yaml.load が検出されました。yaml.safe_load を優先してください(実行を防止)。',

215 globalKeyword: 'global キーワードの使用が検出されました。パラメータとして渡すことを優先してください。',

216 mutableDefault: '変更可能なデフォルト値(list/dict)を持つ引数が検出されました。デフォルトとして None を使用してください。',

217 // パフォーマンス

218 listComprehensionOpportunity: 'リスト内包表記にできるループが検出されました。',

219 loopingOverDict: '.items() なしで dict を反復処理しています。.items() の使用を検討してください。',

220 // ─── 新規: セキュリティ強化 ────────────────────────────────────────────

221 assertUsage: 'プロダクションコードで assert が検出されました。',

222 insecureHashLib: '安全でないハッシュアルゴリズム (md5/sha1) が検出されました。',

223 requestWithoutTimeout: 'タイムアウトなしのHTTPリクエスト。',

224 tempfileSecurity: '安全でない一時ファイル作成 (mktemp)。',

225 loggingWithoutException: '例外をログに記録していない except ブロック。',

226 // ─── 新規: コード品質 ────────────────────────────────────────────────

227 typingImportMissing: 'typing インポートなしで型 (List, Dict, Optional など) を使用しています。',

228 commentedCode: 'コメントアウトされたコードが検出されました。',

229 todoFixme: 'TODO/FIXME コメントが見つかりました。',

230 wildcardImport: 'ワイルドカードインポート (from x import *) が検出されました。',

dist/core/utils/import-safe.jsView file

Lines 1-18javascript

1// SPDX-License-Identifier: MIT

2import { config, resolverPluginSeguro } from '../config/index.js';

3import { messages } from '../messages/index.js';

4export async function importarModuloSeguro(baseDir, pluginRel) {

5 if (config.SAFE_MODE &&

dist/core/execution/executor.jsView file

Lines 1-21javascript

1// SPDX-License-Identifier: MIT

2import crypto from 'node:crypto';

Low

Weak Crypto

Package source references weak cryptographic algorithms.

dist/core/execution/executor.jsView on unpkg · L1

3import path from 'node:path';

4import XXH from 'xxhashjs';

5import { config, formatMs, traverse } from

dist/licenses/generate-notices.jsView file

Lines 91-131javascript

91 start: root,

92 production: true,

93 direct: false,

94 relativeLicensePath: true,

95 json: true

96 }, (err, json) =>

Source & flagged code

5 flagged · loading source

dist/core/messages/ja/core/plugin-messages.jsView file

210evalUsage: 'eval() が検出されました。eval の使用は避けてください - セキュリティ脆弱性。', L211: execUsage: 'exec() が検出されました。exec の使用は避けてください - セキュリティ脆弱性。', L212: subprocessShellTrue: 'shell=True の subprocess が検出されました。コマンドインジェクションのリスク。引数リストと shell=False を優先してください。',

High

Child Process

Package source references child process execution.

dist/core/messages/ja/core/plugin-messages.jsView on unpkg · L210

209printInsteadOfLog: 'print() が検出されました。本番環境では logging モジュールを優先してください。', L210: evalUsage: 'eval() が検出されました。eval の使用は避けてください - セキュリティ脆弱性。', L211: execUsage: 'exec() が検出されました。exec の使用は避けてください - セキュリティ脆弱性。',

Low

Eval

Package source references a known benign dynamic code generation pattern.

dist/core/messages/ja/core/plugin-messages.jsView on unpkg · L209

dist/core/utils/import-safe.jsView file

15// permite que o chamador capture exceções do plugin L16: return import(resolvido.caminho); L17: }

Medium

Dynamic Require

Package source references dynamic require/import behavior.

dist/core/utils/import-safe.jsView on unpkg · L15

dist/core/execution/executor.jsView file

1// SPDX-License-Identifier: MIT L2: import crypto from 'node:crypto';

Low

Weak Crypto

Package source references weak cryptographic algorithms.

dist/core/execution/executor.jsView on unpkg · L1

dist/licenses/generate-notices.jsView file

111try { L112: const { stdout } = await execFile('npx', ['--yes', 'license-checker-rseidelsohn', '--production', '--json'], { L113: cwd: root,

High

Runtime Package Install

Package source invokes a package manager install command at runtime.

dist/licenses/generate-notices.jsView on unpkg · L111

Findings

3 High4 Medium6 Low

HighChild Processdist/core/messages/ja/core/plugin-messages.js

HighShell

HighRuntime Package Installdist/licenses/generate-notices.js

MediumDynamic Requiredist/core/utils/import-safe.js

MediumNetwork

MediumEnvironment Vars

MediumStructural Risk Force Deep Review

LowScripts Present

LowEvaldist/core/messages/ja/core/plugin-messages.js

LowWeak Cryptodist/core/execution/executor.js

LowFilesystem

LowHigh Entropy Strings

LowUrl Strings

Source & flagged code

5 flagged

dist/core/messages/ja/core/plugin-messages.jsView file

Lines 189-230javascript

189 noThemeSystem: 'テーマシステムなし - ThemeProvider の使用を検討してください'

190};

191export const CssInJsCorrecaoMensagens = {

192 description: 'CSS-in-JS 問題の自動修正',

193 correctionSuggested: (tipo) => `修正提案: ${tipo}`,

194 sugestaoFormat: (original, sugerido, confianca) => `[エラー] ${original}\n[OK] ${sugerido}\n信頼度: ${confianca}%`,

195 extractGlobalCss: '// 別のグローバル CSS ファイルに移動することを検討してください'

196};

197// ─── PYTHONメッセージ ──────────────────────────────────────────────

198export const PythonMensagens = {

199 // インポートと依存関係

200 missingTypeHints: '型ヒントのない関数が検出されました。可読性向上のため型ヒントを追加してください。',

201 hardcodedString: (string) => `ハードコードされた文字列が検出されました(${string.slice(0, 30)}...)。定数の使用を検討してください。`,

202 httpWithoutVerify: 'verify=True なしでHTTPリクエストが検出されました。SSL証明書を検証してください。',

203 sqlInjection: 'SQL インジェクションの可能性が検出されました。プリペアドステートメントを使用してください。',

204 // コード品質

205 broadExcept: '汎用例外(except:)が検出されました。具体的に指定してください。',

206 bareRaise: 'コンテキストなしの raise が検出されました。スタックトレースを維持するため、必ず例外を渡してください。',

207 passInExcept: 'except ブロック内の pass。適切なエラー処理を実装してください。',

208 // ベストプラクティス

209 printInsteadOfLog: 'print() が検出されました。本番環境では logging モジュールを優先してください。',

210 evalUsage: 'eval() が検出されました。eval の使用は避けてください - セキュリティ脆弱性。',

211 execUsage: 'exec() が検出されました。exec の使用は避けてください - セキュリティ脆弱性。',

Low

Eval

Package source references a known benign dynamic code generation pattern.

dist/core/messages/ja/core/plugin-messages.jsView on unpkg · L209

212 subprocessShellTrue: 'shell=True の subprocess が検出されました。コマンドインジェクションのリスク。引数リストと shell=False を優先してください。',

High

Child Process

Package source references child process execution.

dist/core/messages/ja/core/plugin-messages.jsView on unpkg · L210

214 yamlUnsafeLoad: '安全な Loader なしで yaml.load が検出されました。yaml.safe_load を優先してください(実行を防止)。',

215 globalKeyword: 'global キーワードの使用が検出されました。パラメータとして渡すことを優先してください。',

216 mutableDefault: '変更可能なデフォルト値(list/dict)を持つ引数が検出されました。デフォルトとして None を使用してください。',

217 // パフォーマンス

218 listComprehensionOpportunity: 'リスト内包表記にできるループが検出されました。',

219 loopingOverDict: '.items() なしで dict を反復処理しています。.items() の使用を検討してください。',

220 // ─── 新規: セキュリティ強化 ────────────────────────────────────────────

221 assertUsage: 'プロダクションコードで assert が検出されました。',

222 insecureHashLib: '安全でないハッシュアルゴリズム (md5/sha1) が検出されました。',

223 requestWithoutTimeout: 'タイムアウトなしのHTTPリクエスト。',

224 tempfileSecurity: '安全でない一時ファイル作成 (mktemp)。',

225 loggingWithoutException: '例外をログに記録していない except ブロック。',

226 // ─── 新規: コード品質 ────────────────────────────────────────────────

227 typingImportMissing: 'typing インポートなしで型 (List, Dict, Optional など) を使用しています。',

228 commentedCode: 'コメントアウトされたコードが検出されました。',

229 todoFixme: 'TODO/FIXME コメントが見つかりました。',

230 wildcardImport: 'ワイルドカードインポート (from x import *) が検出されました。',

dist/core/utils/import-safe.jsView file

Lines 1-18javascript

1// SPDX-License-Identifier: MIT

2import { config, resolverPluginSeguro } from '../config/index.js';

3import { messages } from '../messages/index.js';

4export async function importarModuloSeguro(baseDir, pluginRel) {

5 if (config.SAFE_MODE &&

dist/core/execution/executor.jsView file

Lines 1-21javascript

1// SPDX-License-Identifier: MIT

2import crypto from 'node:crypto';

Low

Weak Crypto

Package source references weak cryptographic algorithms.

dist/core/execution/executor.jsView on unpkg · L1

3import path from 'node:path';

4import XXH from 'xxhashjs';

5import { config, formatMs, traverse } from

dist/licenses/generate-notices.jsView file

Lines 91-131javascript

91 start: root,

92 production: true,

93 direct: false,

94 relativeLicensePath: true,

95 json: true

96 }, (err, json) =>