registry / fractalia-faro / 0.10.0

fractalia-faro@0.10.0

Wizard FARO: CREA o ADOPTA un repo de trabajo (clasificación v2: entity + domain + concept) desde el template oficial, con ramas main+develop, metadato que el harness lee y clon local listo.

Static Scan Results

scanned 2h ago · by rust-scanner

Static analysis flagged 12 finding(s) at 72.0% confidence. This version is warn-only unless an AI or security-team review confirms malicious behavior.

Static reason

One or more suspicious static signals were detected.

Decision evidence

public snapshot

Behavioral surface

Source

ChildProcessEnvironmentVarsFilesystemNetworkShell

Supply chain

HighEntropyStringsObfuscatedUrlStrings

Manifest

NoLicense

scanned 1 file(s), 48.6 KB of source, external domains: api.github.com, github.com, mcp.fractaliacyber.com

Source & flagged code

3 flagged

bin/crear.mjsView file

Lines 1-37javascript

1#!/usr/bin/env node

2// fractalia-faro — Wizard INICIAL de creación de repos (PRE-harness).

3// Pieza independiente: el harness vive DENTRO de cada repo ya creado; este CLI es quien lo crea.

4//

5// MODELO (validado 2026-07-08):

6// - Nombre AGNÓSTICO y estable: faro-<slug> (nada de plataforma/gobernanza en el nombre).

7// - Clasificación en GitHub TOPICS + metadato in-repo:

8// faro · plat-core|plat-orbital · gob-servicio|funcionalidad|proyecto|iniciativa · sys-<slug>

9// - Evolución (iniciativa→proyecto→servicio) = cambiar el topic, SIN renombrar.

10// - El wizard estampa los topics vía API al crear.

11// Sin dependencias. Node >= 18 (usa fetch nativo).

12'use strict';

14import fs from 'node:fs';

15import os from 'node:os';

16import path from 'node:path';

17import readline from 'node:readline/promises';

18import { execFileSync } from 'node:child_process';

High

Child Process

Package source references child process execution.

bin/crear.mjsView on unpkg · L17

High

Sandbox Evasion Gated Capability

Source gates dangerous network, credential, or execution behavior behind CI, host, platform, time, or geo fingerprint checks.

bin/crear.mjsView on unpkg · L17

20// ---------- Plataformas (EXTENSIBLE; el catalog.json de la org las sobreescribe) ----------

21// Core = plataforma principal (visible a todos). Orbital y futuras = transversales; soloOwner.

22const PLATAFORMAS = [

23 { id: 'core', nombre: 'Core', nota: 'plataforma principal' },

24 { id: 'orbital', nombre: 'Orbital', nota: 'solución transversal', soloOwner: true },

25];

26// ENTIDAD (la CLASE, modelo v2): QUÉ es el trabajo. El usuario elige de las 11 (lenguaje amigable).

27// Se guarda como `entidad` en .fractalia-template.json (+ topic ent-*). El catalog.json de la org la sobreescribe.

28const ENTIDADES = {

29 plataforma: { etiqueta: 'Plataforma', explica: 'La base sobre la que se montan otras cosas.' },

30 sistema: { etiqueta: 'Sistema', explica: 'Varias piezas que funcionan como un todo.' },

31 servicio: { etiqueta: 'Servicio', explica: 'En marcha y sin fecha de fin: se mantiene y mejora.' },

32 funcionalidad: { etiqueta: 'Funcionalidad', explica: 'Una pieza que se añade a algo mayor.' },

33 proceso: { etiqueta: 'Proceso', explica: 'Una forma de trabajar que se repite.' },

34 proyecto: { etiqueta: 'Proyecto', explica: 'Con objetivo y fecha; se cierra al terminar.' },

35 iniciativa: { etiqueta: 'Iniciativa / investigación', explica: 'Una exploración; el alcance aún está abierto.' },

36 libreria: { etiqueta: 'Librería', explica: 'Código reutilizable por otros repos.' },

37 generico: { etiqueta: 'Genérico', explica: 'Cajón para lo que no encaja en los demás.' },

Lines 332-372javascript

332

333async function deviceFlow(clientId) {

334 const form = (o) => Object.entries(o).map(([k, v]) => `${k}=${encodeURIComponent(v)}`).join('&');

Source & flagged code

3 flagged · loading source

bin/crear.mjsView file

17import readline from 'node:readline/promises'; L18: import { execFileSync } from 'node:child_process'; L19:

High

Child Process

Package source references child process execution.

bin/crear.mjsView on unpkg · L17

352await new Promise((r) => setTimeout(r, intervalo)); L353: const t = await post('https://github.com/login/oauth/access_token', { L354: client_id: clientId, device_code: d.device_code, grant_type: 'urn:ietf:params:oauth:grant-type:device_code', ... L363: const candidatos = []; L364: if (process.env.FRACTALIA_GITHUB_TOKEN) candidatos.push(['variable de entorno FRACTALIA_GITHUB_TOKEN', process.env.FRACTALIA_GITHUB_TOKEN]); L365: if (process.env.GITHUB_TOKEN) candidatos.push(['variable de entorno GITHUB_TOKEN', process.env.GITHUB_TOKEN]); ... L367: try { L368: const t = execFileSync('gh', ['auth', 'token'], { encoding: 'utf8', stdio: ['ignore', 'pipe', 'ignore'], timeout: 8000 }).trim(); L369: if (t) candidatos.push(['GitHub CLI (gh auth token)', t]);

High

Same File Env Network Execution

A single source file combines environment access, network access, and code or shell execution; review context before blocking.

bin/crear.mjsView on unpkg · L352

17import readline from 'node:readline/promises'; L18: import { execFileSync } from 'node:child_process'; L19: ... L80: L81: const CONFIG_PATH = path.join(os.homedir(), '.fractalia-cli.json'); L82: const API = 'https://api.github.com'; L83: ... L146: // ---------- UI (ANSI; se apaga sin TTY) ---------- L147: const C = process.stdout.isTTY L148: ? { g: '\x1b[32m', y: '\x1b[33m', r: '\x1b[31m', c: '\x1b[36m', b: '\x1b[1m', d: '\x1b[2m', inv: '\x1b[7m', x: '\x1b[0m' } ... L172: let i = 0; const t0 = Date.now(); L173: process.stdout.write('\x1b[?25l');

High

Sandbox Evasion Gated Capability

Source gates dangerous network, credential, or execution behavior behind CI, host, platform, time, or geo fingerprint checks.

bin/crear.mjsView on unpkg · L17

Findings

4 High3 Medium5 Low

HighChild Processbin/crear.mjs

HighShell

HighSame File Env Network Executionbin/crear.mjs

HighSandbox Evasion Gated Capabilitybin/crear.mjs

MediumNetwork

MediumEnvironment Vars

MediumStructural Risk Force Deep Review

LowFilesystem

LowObfuscated

LowHigh Entropy Strings

LowUrl Strings

LowNo License