Back to skill

Security audit

flyelep-generate-kits

Security checks across malware telemetry and agentic risk

Overview

This is a coherent Flyelep API skill bundle that makes disclosed, user-directed HTTP calls for image, poster, writing, and video generation, with credential and temporary-file handling risks users should manage carefully.

Install this only if you intend to use Flyelep’s service. Treat secretKey as a credential, avoid putting confidential prompts or private/internal media URLs into requests, prefer runtime secret handling over inline shell commands, and delete any temporary payload files if a workflow creates them.

SkillSpector

By NVIDIA
Vulnerability Patterns
  • Data ExfiltrationExternal Transmission, Env Variable Harvesting, File System Enumeration
  • Trigger AbuseOverly Broad Trigger, Shadow Command Trigger, Keyword Baiting Trigger
  • Prompt InjectionInstruction Override, Hidden Instructions, Exfiltration Commands
  • Privilege EscalationExcessive Permissions, Sudo/Root Execution, Credential Access
  • Supply ChainUnpinned Dependencies, External Script Fetching, Obfuscated Code
Findings (13)

Missing User Warnings

Medium
Confidence
93% confidence
Finding
The skill instructs users to supply an API secret key in headers or request bodies but provides no warning that the value is a credential requiring careful handling. In an agent-skill context, this omission increases the chance that users or calling agents will place the secret in prompts, logs, transcripts, examples, or shared configs, leading to credential disclosure and unauthorized API use.

Vague Triggers

Medium
Confidence
87% confidence
Finding
The trigger description is broad enough to match generic image-generation requests, which can cause the agent to invoke this skill when a more appropriate or safer specialized skill should be used. In this repository context, that increases the chance of unintended external API calls, mismatched behavior, and unnecessary transmission of user prompts or image URLs to a third-party service.

Missing User Warnings

Low
Confidence
84% confidence
Finding
The examples instruct creating and deleting a fixed temporary file (`payload_temp.json`) containing request data, but they do not include an explicit warning about sensitive user content or safe handling of local files. In agent/tooling environments, this can expose prompts, image URLs, task IDs, or secrets to other local processes, shell history equivalents, or accidental deletion/overwrite if the filename collides with an existing file.

Vague Triggers

Medium
Confidence
90% confidence
Finding
The trigger text is very broad and overlaps with generic image-generation requests, so an agent may invoke this skill in situations where the user did not clearly intend to send data to Flyelep. That increases the chance of unintended third-party transmission of prompts, product details, image URLs, and API credentials.

Missing User Warnings

Medium
Confidence
96% confidence
Finding
The skill describes an HTTP API workflow but does not prominently warn users that their product descriptions, reference image URLs, and API keys will be transmitted to a third-party service. Without explicit disclosure and consent, users may unknowingly expose sensitive commercial data or secrets to an external provider.

External Transmission

Medium
Category
Data Exfiltration
Content
- **方式 B(无 Write 工具)**:使用 Shell 的 .NET API 创建文件(`Set-Content -Encoding UTF8` 会带 BOM,不可用)
- **macOS/Linux 环境**:
  - bash/zsh 默认使用 UTF-8 编码,可直接内联中文 JSON,无需临时文件。命令中使用 `curl`(无需 `.exe`,无需 `--%`)。
  - 推荐内联写法:`curl -X POST URL -H "Content-Type: application/json; charset=utf-8" -H "secretKey: 你的密钥" --data-binary 'JSON单行内容'`,一步完成
  - 也可使用临时文件方式:`curl --data-binary @payload_temp.json`
- **清理**:API 返回结果后,务必删除 `payload_temp.json` 临时文件(如使用了临时文件)。
Confidence
83% confidence
Finding
curl -X POST URL -H "Content-Type: application/json; charset=utf-8" -H "secretKey: 你的密钥" --data-binary 'JSON单行内容'`,一步完成 - 也可使用临时文件方式:`curl --data-binary @payload_temp.json` - **清理**:API 返回结果后,务必删除 `

External Transmission

Medium
Category
Data Exfiltration
Content
- **方式 B(无 Write 工具)**:使用 Shell 的 .NET API 创建文件(`Set-Content -Encoding UTF8` 会带 BOM,不可用)
- **macOS/Linux 环境**:
  - bash/zsh 默认使用 UTF-8 编码,可直接内联中文 JSON,无需临时文件。命令中使用 `curl`(无需 `.exe`,无需 `--%`)。
  - **推荐内联写法**:`curl -X POST URL -H "..." -H "..." --data-binary 'JSON单行内容'`,一步完成,无需创建/删除临时文件。
  - 也可使用临时文件方式:`curl --data-binary @payload_temp.json`,与 Windows 写法相同,只需把 `curl.exe --%` 改为 `curl`。
- **清理**:API 返回结果后,务必删除 `payload_temp.json` 临时文件(如使用了临时文件)。
Confidence
88% confidence
Finding
curl -X POST URL -H "..." -H "..." --data-binary 'JSON单行内容'`,一步完成,无需创建/删除临时文件。 - 也可使用临时文件方式:`curl --data-binary @payload_temp.json`,与 Windows 写法相同,只需把 `curl.exe --%` 改为 `curl`。 - **清理**:API 返回结果后,务必

External Transmission

Medium
Category
Data Exfiltration
Content
- **方式 B(无 Write 工具)**:使用 Shell 的 .NET API 创建文件(`Set-Content -Encoding UTF8` 会带 BOM,不可用)
- **macOS/Linux 环境**:
  - bash/zsh 默认使用 UTF-8 编码,可直接内联中文 JSON,无需临时文件。命令中使用 `curl`(无需 `.exe`,无需 `--%`)。
  - 推荐内联写法:`curl -X POST URL -H "..." -H "..." --data-binary 'JSON单行内容'`,一步完成。
  - 也可使用临时文件方式:`curl --data-binary @payload_temp.json`。
- **清理**:API 返回结果后,务必删除 `payload_temp.json` 临时文件(如使用了临时文件)。
Confidence
93% confidence
Finding
curl -X POST URL -H "..." -H "..." --data-binary 'JSON单行内容'`,一步完成。 - 也可使用临时文件方式:`curl --data-binary @payload_temp.json`。 - **清理**:API 返回结果后,务必删除 `payload_temp.json` 临时文件(如使用了临时文件)。 **示例 1:创建异步自由创作任

External Transmission

Medium
Category
Data Exfiltration
Content
- **方式 B(无 Write 工具)**:使用 Shell 的 .NET API 创建文件(`Set-Content -Encoding UTF8` 会带 BOM,不可用)
- **macOS/Linux 环境**:
  - bash/zsh 默认使用 UTF-8 编码,可直接内联中文 JSON,无需临时文件。命令中使用 `curl`(无需 `.exe`,无需 `--%`)。
  - 推荐内联写法:`curl -X POST URL -H "..." -H "..." --data-binary 'JSON单行内容'`,一步完成。
  - 也可使用临时文件方式:`curl --data-binary @payload_temp.json`。
- **清理**:API 返回结果后,务必删除 `payload_temp.json` 临时文件(如使用了临时文件)。
Confidence
94% confidence
Finding
curl -X POST URL -H "..." -H "..." --data-binary 'JSON单行内容'`,一步完成。 - 也可使用临时文件方式:`curl --data-binary @payload_temp.json`。 - **清理**:API 返回结果后,务必删除 `payload_temp.json` 临时文件(如使用了临时文件)。 **示例 1:提交爆款图片复刻任

External Transmission

Medium
Category
Data Exfiltration
Content
- **方式 B(无 Write 工具)**:使用 Shell 的 .NET API 创建文件(`Set-Content -Encoding UTF8` 会带 BOM,不可用)
- **macOS/Linux 环境**:
  - bash/zsh 默认使用 UTF-8 编码,可直接内联中文 JSON,无需临时文件。命令中使用 `curl`(无需 `.exe`,无需 `--%`)。
  - 推荐内联写法:`curl -X POST URL -H "..." -H "..." --data-binary 'JSON单行内容'`,一步完成。
  - 也可使用临时文件方式:`curl --data-binary @payload_temp.json`。
- **清理**:API 返回结果后,务必删除 `payload_temp.json` 临时文件(如使用了临时文件)。
Confidence
88% confidence
Finding
curl -X POST URL -H "..." -H "..." --data-binary 'JSON单行内容'`,一步完成。 - 也可使用临时文件方式:`curl --data-binary @payload_temp.json`。 - **清理**:API 返回结果后,务必删除 `payload_temp.json` 临时文件(如使用了临时文件)。 ### 示例 1:生成产品主图(

External Transmission

Medium
Category
Data Exfiltration
Content
- **方式 B(无 Write 工具)**:使用 Shell 的 .NET API 创建文件(`Set-Content -Encoding UTF8` 会带 BOM,不可用)
- **macOS/Linux 环境**:
  - bash/zsh 默认使用 UTF-8 编码,可直接内联中文 JSON,无需临时文件。命令中使用 `curl`(无需 `.exe`,无需 `--%`)。
  - 推荐内联写法:`curl -X POST URL -H "..." -H "..." --data-binary 'JSON单行内容'`,一步完成。
  - 也可使用临时文件方式:`curl --data-binary @payload_temp.json`。
- **清理**:API 返回结果后,务必删除 `payload_temp.json` 临时文件(如使用了临时文件)。
Confidence
92% confidence
Finding
curl -X POST URL -H "..." -H "..." --data-binary 'JSON单行内容'`,一步完成。 - 也可使用临时文件方式:`curl --data-binary @payload_temp.json`。 - **清理**:API 返回结果后,务必删除 `payload_temp.json` 临时文件(如使用了临时文件)。 **示例 1:提交视频生成任务(

External Transmission

Medium
Category
Data Exfiltration
Content
- **方式 B(无 Write 工具)**:使用 Shell 的 .NET API 创建文件(`Set-Content -Encoding UTF8` 会带 BOM,不可用)
- **macOS/Linux 环境**:
  - bash/zsh 默认使用 UTF-8 编码,可直接内联中文 JSON,无需临时文件。命令中使用 `curl`(无需 `.exe`,无需 `--%`)。
  - 推荐内联写法:`curl -X POST URL -H "Content-Type: application/json; charset=utf-8" -H "secretKey: 你的密钥" --data-binary 'JSON单行内容'`,一步完成
  - 也可使用临时文件方式:`curl --data-binary @payload_temp.json`
- **清理**:API 返回结果后,务必删除 `payload_temp.json` 临时文件(如使用了临时文件)。
Confidence
90% confidence
Finding
curl -X POST URL -H "Content-Type: application/json; charset=utf-8" -H "secretKey: 你的密钥" --data-binary 'JSON单行内容'`,一步完成 - 也可使用临时文件方式:`curl --data-binary @payload_temp.json` - **清理**:API 返回结果后,务必删除 `

External Transmission

Medium
Category
Data Exfiltration
Content
- **方式 B(无 Write 工具)**:使用 Shell 的 .NET API 创建文件(`Set-Content -Encoding UTF8` 会带 BOM,不可用)
- **macOS/Linux 环境**:
  - bash/zsh 默认使用 UTF-8 编码,可直接内联中文 JSON,无需临时文件。命令中使用 `curl`(无需 `.exe`,无需 `--%`)。
  - 推荐内联写法:`curl -X POST URL -H "Content-Type: application/json; charset=utf-8" -H "secretKey: 你的密钥" --data-binary 'JSON单行内容'`,一步完成
  - 也可使用临时文件方式:`curl --data-binary @payload_temp.json`
- **清理**:API 返回结果后,务必删除 `payload_temp.json` 临时文件(如使用了临时文件)。
Confidence
84% confidence
Finding
curl -X POST URL -H "Content-Type: application/json; charset=utf-8" -H "secretKey: 你的密钥" --data-binary 'JSON单行内容'`,一步完成 - 也可使用临时文件方式:`curl --data-binary @payload_temp.json` - **清理**:API 返回结果后,务必删除 `

VirusTotal

59/59 vendors flagged this skill as clean.

View on VirusTotal

Static analysis

No suspicious patterns detected.