registry / @nitra/cursor / 13.4.1

@nitra/cursor@13.4.1

⚠ Under review

CLI для завантаження cursor-правил (префікс n-) у локальний репозиторій

Static Scan Results

scanned 3d ago · by rust-scanner

Static analysis flagged 14 finding(s) at 93.0% confidence. This version is warn-only unless an AI or security-team review confirms malicious behavior.

Static reason

One or more suspicious static signals were detected.; previous stored version diff introduced dangerous source

Decision evidence

public snapshot

Behavioral surface

Source

ChildProcessCryptoDynamicRequireEnvironmentVarsFilesystemNativeBindingsNetworkShell

Supply chain

HighEntropyStringsUrlStrings

ManifestNo manifest risk signals triggered.

scanned 289 file(s), 1.75 MB of source, external domains: api.github.com, blueoakcouncil.org, brew.sh, bun.com, datreeio.github.io, git.io, github.com, json.schemastore.org, kubernetes.io, pypi.org, raw.githubusercontent.com, registry.npmjs.org, scoop.sh, unpkg.com

Source & flagged code

7 flagged

bin/n-cursor.jsView file

Lines 42-82javascript

42 *

43 * Composite GitHub Action `.github/actions/setup-bun-deps/action.yml` копіюється з каталогу

44 * `github-actions/` пакету при кожному успішному синку (workflows з правил ga / js-lint / text).

45 *

46 * Skills копіюються з npm/skills пакету лише для id з масиву «skills» у .n-cursor.json

47 * (у JSON — без префікса, як імена каталогів у rules/ без n-). У пакеті джерело — каталоги

48 * skills/<id>/ (без префікса); у проєкті — .cursor/skills/n-<id>/ (префікс n-, як n-*.mdc).

49 * Якщо ключа skills немає, за замовчуванням підтягуються всі підкаталоги skills/ (лише імена без префікса n-).

50 * Зайві каталоги n-* у .cursor/skills, яких немає у списку, видаляються.

51 * Файл `auto.md` у скілі — джерело правди для auto-skills у CLI (`scripts/auto-skills.mjs`)

52 * і у проєкт не копіюється; раніше синхронізовані `auto.md` у `.cursor/skills/n-<id>/` CLI

53 * не чіпає — їх потрібно прибрати вручну.

54 *

55 * Якщо в корені є package.json і в ньому ще немає \@nitra/cursor у devDependencies (і не оголошено

56 * в dependencies), CLI дописує devDependencies з діапазоном ^<version> поточного пакету — зручно після npx.

57 *

58 * Перед копіюванням правил (режим без підкоманди): оновлення \@nitra/cursor у package.json до

59 * останньої версії з npm (крім workspace:/file:/link: тощо), `bun i`, далі файли беруться з

60 * `node_modules/@nitra/cursor`, якщо пакет з’явився після встановлення.

61 */

63import { spawnSync } from 'node:child_process'

64import { existsSync } from 'node:fs'

High

Child Process

Package source references child process execution.

bin/n-cursor.jsView on unpkg · L62

65import { mkdir, readdir, readFile, rename, rm, unlink, writeFile } from 'node:fs/promises'

66import { basename, dirname, join, resolve } from 'node:path'

67import { cwd, env } from 'node:process'

68import { fileURLToPath } from 'node:url'

70import { buildAgentsCommandBulletItems } from '../scripts/build-agents-commands.mjs'

71import { formatGeneratedMarkdownLines, renderAgentsTemplate } from '../scripts/lib/generated-markdown.mjs'

72import { appendDiscoveredMdcFiles, inlineTemplateLinks } from '../scripts/lib/inline-template-links.mjs'

73import {

74 detectAutoRules,

75 detectLegacyRuleIds,

76 mergeConfigWithAutoDetected,

77 normalizeIdList,

78 RULE_MIGRATIONS

79} from '../scripts/auto-rules.mjs'

80import { detectAutoSkills } from '../scripts/auto-skills.mjs'

81import { readSkillMetaRaw } from '../scripts/lib/skill-meta.mjs'

82import { injectWorktreeNotice } from '../scripts/lib/worktree-notice.mjs'

scripts/skills-cli.mjsView file

Lines 24-64javascript

24import { readSkillMetaRaw, skillTier } from './lib/skill-meta.mjs'

26/** Виконавці скіла. `pi` — вбудований (рекомендований); `cursor`/`claude` — deprecated зовнішні CLI. */

27const RUNNERS = new Set(['pi', 'cursor', 'claude'])

29const USAGE_LINES = [

scripts/lib/lint-surface/run-fix.mjsView file

Lines 1-29javascript

1/**

2 * Central fix-pipeline unified lint surface (spec 2026-06-29 §Fix Role / §Tier Ladder).

3 *

4 * Послідовно, per concern:

5 * detect → (clean: keep) → T0 (permanent, поза rollback) → snapshot S1 →

6 * detect → (clean: keep) → ladder[restore S1 → worker → detect]* → (exhausted: rollback S1)

7 *

8 * Ролі чесні: detector тільки виявляє; T0 і worker тільки змінюють; success визначає

9 * ВИКЛЮЧНО canonical re-detect. Worker не володіє rollback/tier/ladder — лише один attempt.

10 * @typedef {import('./types.mjs').LintContext}

rules/image-compress/check/main.mjsView file

Lines 9-49javascript

10const JSON_MAX_BUFFER = 20 * 1024 * 1024

12/**

13 * @param {string} stdout stdout

14 * @returns {{ summary?: { needsCompression?: unknown, total?: unknown } }} розпарсений JSON `--json`

.claude-template/hooks/normalize-decisions.shView file

•path = .claude-template/hooks/normalize-decisions.sh kind = payload_in_excluded_dir sizeBytes = 23833 magicHex = [redacted]

High

Payload In Excluded Dir

Package hides binary, compressed, or executable-looking payloads in test/fixture/hidden paths.

.claude-template/hooks/normalize-decisions.shView on unpkg

•path = .claude-template/hooks/normalize-decisions.sh kind = build_helper sizeBytes = 23833 magicHex = [redacted]

Medium

Ships Build Helper

Package ships non-JavaScript build or shell helper files.

.claude-template/hooks/normalize-decisions.shView on unpkg

rules/changelog/consistency/main.mjsView file

•matchType = previous_version_dangerous_delta matchedPackage = @nitra/cursor@13.2.2 matchedIdentity = npm:QG5pdHJhL2N1cnNvcg:13.2.2 similarity = 0.492 summary = stored previous version shares package body but lacks this dangerous source file

Critical

Previous Version Dangerous Delta

This package version adds a dangerous source file absent from the previous stored version.

rules/changelog/consistency/main.mjsView on unpkg

Source & flagged code

7 flagged · loading source

bin/n-cursor.jsView file

62L63: import { spawnSync } from 'node:child_process' L64: import { existsSync } from 'node:fs'

High

Child Process

Package source references child process execution.

bin/n-cursor.jsView on unpkg · L62

scripts/skills-cli.mjsView file

44function isBinaryInPath(name) { L45: const probe = spawnSync('command', ['-v', name], { shell: true, encoding: 'utf8' }) L46: return probe.status === 0

High

Shell

Package source references shell execution.

scripts/skills-cli.mjsView on unpkg · L44

scripts/lib/lint-surface/run-fix.mjsView file

9* ВИКЛЮЧНО canonical re-detect. Worker не володіє rollback/tier/ladder — лише один attempt. L10: * @typedef {import('./types.mjs').LintContext} LintContext L11: * @typedef {import('./types.mjs').LintViolation} LintViolation

Medium

Dynamic Require

Package source references dynamic require/import behavior.

scripts/lib/lint-surface/run-fix.mjsView on unpkg · L9

rules/image-compress/check/main.mjsView file

29L30: const r = spawnSync('npx', ['@nitra/minify-image', '--src=.', '--json'], { L31: cwd,

High

Runtime Package Install

Package source invokes a package manager install command at runtime.

rules/image-compress/check/main.mjsView on unpkg · L29

.claude-template/hooks/normalize-decisions.shView file

•path = .claude-template/hooks/normalize-decisions.sh kind = payload_in_excluded_dir sizeBytes = 23833 magicHex = [redacted]

High

Payload In Excluded Dir

Package hides binary, compressed, or executable-looking payloads in test/fixture/hidden paths.

.claude-template/hooks/normalize-decisions.shView on unpkg

•path = .claude-template/hooks/normalize-decisions.sh kind = build_helper sizeBytes = 23833 magicHex = [redacted]

Medium

Ships Build Helper

Package ships non-JavaScript build or shell helper files.

.claude-template/hooks/normalize-decisions.shView on unpkg

rules/changelog/consistency/main.mjsView file

Critical

Previous Version Dangerous Delta

This package version adds a dangerous source file absent from the previous stored version.

rules/changelog/consistency/main.mjsView on unpkg

Findings

1 Critical4 High5 Medium4 Low

CriticalPrevious Version Dangerous Deltarules/changelog/consistency/main.mjs

HighChild Processbin/n-cursor.js

HighShellscripts/skills-cli.mjs

HighRuntime Package Installrules/image-compress/check/main.mjs

HighPayload In Excluded Dir.claude-template/hooks/normalize-decisions.sh

MediumDynamic Requirescripts/lib/lint-surface/run-fix.mjs

MediumNetwork

MediumEnvironment Vars

MediumShips Build Helper.claude-template/hooks/normalize-decisions.sh

MediumStructural Risk Force Deep Review

LowScripts Present

LowFilesystem

LowHigh Entropy Strings

LowUrl Strings

Source & flagged code

7 flagged

bin/n-cursor.jsView file

Lines 42-82javascript

42 *

43 * Composite GitHub Action `.github/actions/setup-bun-deps/action.yml` копіюється з каталогу

44 * `github-actions/` пакету при кожному успішному синку (workflows з правил ga / js-lint / text).

45 *

46 * Skills копіюються з npm/skills пакету лише для id з масиву «skills» у .n-cursor.json

47 * (у JSON — без префікса, як імена каталогів у rules/ без n-). У пакеті джерело — каталоги

48 * skills/<id>/ (без префікса); у проєкті — .cursor/skills/n-<id>/ (префікс n-, як n-*.mdc).

49 * Якщо ключа skills немає, за замовчуванням підтягуються всі підкаталоги skills/ (лише імена без префікса n-).

50 * Зайві каталоги n-* у .cursor/skills, яких немає у списку, видаляються.

51 * Файл `auto.md` у скілі — джерело правди для auto-skills у CLI (`scripts/auto-skills.mjs`)

52 * і у проєкт не копіюється; раніше синхронізовані `auto.md` у `.cursor/skills/n-<id>/` CLI

53 * не чіпає — їх потрібно прибрати вручну.

54 *

55 * Якщо в корені є package.json і в ньому ще немає \@nitra/cursor у devDependencies (і не оголошено

56 * в dependencies), CLI дописує devDependencies з діапазоном ^<version> поточного пакету — зручно після npx.

57 *

58 * Перед копіюванням правил (режим без підкоманди): оновлення \@nitra/cursor у package.json до

59 * останньої версії з npm (крім workspace:/file:/link: тощо), `bun i`, далі файли беруться з

60 * `node_modules/@nitra/cursor`, якщо пакет з’явився після встановлення.

61 */

63import { spawnSync } from 'node:child_process'

64import { existsSync } from 'node:fs'

High

Child Process

Package source references child process execution.

bin/n-cursor.jsView on unpkg · L62

65import { mkdir, readdir, readFile, rename, rm, unlink, writeFile } from 'node:fs/promises'

66import { basename, dirname, join, resolve } from 'node:path'

67import { cwd, env } from 'node:process'

68import { fileURLToPath } from 'node:url'

70import { buildAgentsCommandBulletItems } from '../scripts/build-agents-commands.mjs'

71import { formatGeneratedMarkdownLines, renderAgentsTemplate } from '../scripts/lib/generated-markdown.mjs'

72import { appendDiscoveredMdcFiles, inlineTemplateLinks } from '../scripts/lib/inline-template-links.mjs'

73import {

74 detectAutoRules,

75 detectLegacyRuleIds,

76 mergeConfigWithAutoDetected,

77 normalizeIdList,

78 RULE_MIGRATIONS

79} from '../scripts/auto-rules.mjs'

80import { detectAutoSkills } from '../scripts/auto-skills.mjs'

81import { readSkillMetaRaw } from '../scripts/lib/skill-meta.mjs'

82import { injectWorktreeNotice } from '../scripts/lib/worktree-notice.mjs'

scripts/skills-cli.mjsView file

Lines 24-64javascript

24import { readSkillMetaRaw, skillTier } from './lib/skill-meta.mjs'

26/** Виконавці скіла. `pi` — вбудований (рекомендований); `cursor`/`claude` — deprecated зовнішні CLI. */

27const RUNNERS = new Set(['pi', 'cursor', 'claude'])

29const USAGE_LINES = [

scripts/lib/lint-surface/run-fix.mjsView file

Lines 1-29javascript

1/**

2 * Central fix-pipeline unified lint surface (spec 2026-06-29 §Fix Role / §Tier Ladder).

3 *

4 * Послідовно, per concern:

5 * detect → (clean: keep) → T0 (permanent, поза rollback) → snapshot S1 →

6 * detect → (clean: keep) → ladder[restore S1 → worker → detect]* → (exhausted: rollback S1)

7 *

8 * Ролі чесні: detector тільки виявляє; T0 і worker тільки змінюють; success визначає

9 * ВИКЛЮЧНО canonical re-detect. Worker не володіє rollback/tier/ladder — лише один attempt.

10 * @typedef {import('./types.mjs').LintContext}

rules/image-compress/check/main.mjsView file

Lines 9-49javascript

10const JSON_MAX_BUFFER = 20 * 1024 * 1024

12/**

13 * @param {string} stdout stdout

14 * @returns {{ summary?: { needsCompression?: unknown, total?: unknown } }} розпарсений JSON `--json`

.claude-template/hooks/normalize-decisions.shView file

•path = .claude-template/hooks/normalize-decisions.sh kind = payload_in_excluded_dir sizeBytes = 23833 magicHex = [redacted]

High

Payload In Excluded Dir

Package hides binary, compressed, or executable-looking payloads in test/fixture/hidden paths.

.claude-template/hooks/normalize-decisions.shView on unpkg

•path = .claude-template/hooks/normalize-decisions.sh kind = build_helper sizeBytes = 23833 magicHex = [redacted]

Medium

Ships Build Helper

Package ships non-JavaScript build or shell helper files.

.claude-template/hooks/normalize-decisions.shView on unpkg

rules/changelog/consistency/main.mjsView file

Critical

Previous Version Dangerous Delta

This package version adds a dangerous source file absent from the previous stored version.

rules/changelog/consistency/main.mjsView on unpkg