D
dsh-shlr-bilitoolkit
0.1.33认证 L1已扫描 ✓健康 D/68周下载 —依赖有已知漏洞
0.1.28 起默认恢复「工具懒加载」（按需开组，BILI_LAZY=0 可关）
作者原文（英文）
深海猎人专用B站接口工具箱 dsh 插件。
简介取自插件自己的 README 原文。
检测报告
工具与效率关注度高。命中了不少能力模式，其中可能有需要留意的。逐条看下面的清单。
可执行外部程序spawns-processes高关注1 处命中
dist/apis/download.js:9import { spawn } from "node:child_process";写入文件writes-files需留意10 处命中
dist/cache.js:66mkdirSync(path.dirname(this.path), { recursive: true });发起网络请求network需留意10 处命中
dist/client.js:132this.http = axios.create({ timeout: this.timeout, headers: { ...DEFAULT_HEADERS } });读取环境变量reads-env一般13 处命中
dist/client.js:148this.cache = new JsonCache(opts.cacheFile ?? process.env.BILI_CACHE_FILE ?? "bili_cache.json");读取文件reads-files一般10 处命中
dist/cache.js:20if (!existsSync(this.path))命中次数只说明源码里出现过这类调用，不说明行为好坏。命中了不少能力模式，其中可能有需要留意的。逐条看下面的清单。
可信度
扣分项逐条附证据68
健康分 · 等级 D
扣分项 6 · 合计 -32
L0静态结构与契约sha512-J/aez5aYWGN6y6Rv… 与本地 tarball 复算一致，补丁与入口齐备，另有 1 项声明不一致（计入健康扣分）✓
L1配置组合与依赖图跨包无 entry id 冲突，插入模块可解析，目录内 peer 满足✓
L2隔离沙箱冒烟还没有宿主启动记录—
L3运行时健康监控抽样会话内未观测到外部进程 / 越界写 / 外连（2 个事件）（前一级未通过，本项不计入等级）（前一层未过，不计入等级）✓
- -10声明与实物不符：client-present-undeclaredmajor：['dist/client.d.ts', 'dist/client.js']
- -5没有仓库或主页地址warn
- -10依赖 axios通告：GHSA-35jp-ww65-95whmajor：axios Vulnerable to Full Man-in-the-Middle via Prototype Pollution Gadget in `config.proxy`
- -5依赖 axios通告：GHSA-6chq-wfr3-2hj9major：Axios: Header Injection via Prototype Pollution
- -2依赖 axios通告：GHSA-pf86-5x62-jrwfmajor：Axios: Prototype Pollution Gadgets - Response Tampering, Data Exfiltration, and Request Hijacking
- 0另有 31 条依赖通告未单独计分（已按严重度计入前三条）minor
兼容性
| DSH peer 依赖 | 2 个cordisdsh-tools均为 @deepseek-ai/ 下的包 |
|---|---|
| 第三方依赖 | 3 个 |
| bundle patch | ./cordis.patch.yml |
| 依赖安全公告 | 48 条，见下方 |
这个插件声明的依赖中，有 48 条已公开的安全公告 （最高等级：严重）：
| 等级 | 依赖包 | 编号 | 摘要 |
|---|---|---|---|
| 严重 | axios | CVE-2026-44494 | axios Vulnerable to Full Man-in-the-Middle via Prototype Pollution Gadget in `config.proxy` 修复版本：1.16.0 详情 |
| 严重 | axios | CVE-2026-42035 | Axios: Header Injection via Prototype Pollution 修复版本：0.31.1, 1.15.1 详情 |
| 严重 | axios | CVE-2026-42033 | Axios: Prototype Pollution Gadgets - Response Tampering, Data Exfiltration, and Request Hijacking 修复版本：0.31.1, 1.15.1 详情 |
| 严重 | axios | CVE-2026-42264 | Axios has prototype pollution read-side gadgets in HTTP adapter that allow credential injection and request hijacking 修复版本：1.15.2 详情 |
| 中 | axios | CVE-2026-44495 | axios Vulnerable to Credential Theft and Response Hijacking via Prototype Pollution Gadget in Config Merge 修复版本：0.31.1, 1.15.2 详情 |
| 中 | axios | CVE-2025-62718 | Axios has a NO_PROXY Hostname Normalization Bypass that Leads to SSRF 修复版本：0.31.0, 1.15.0 详情 |
| 中 | axios | CVE-2026-42044 | Axios: Invisible JSON Response Tampering via Prototype Pollution Gadget in `parseReviver` 修复版本：1.15.2 详情 |
| 中 | axios | CVE-2026-25639 | Axios is Vulnerable to Denial of Service via __proto__ Key in mergeConfig 修复版本：0.30.3, 1.13.5 详情 |
| 中 | axios | CVE-2025-58754 | Axios is vulnerable to DoS attack through lack of data size check 修复版本：0.30.2, 1.12.0 详情 |
| 中 | axios | CVE-2026-42039 | Axios: unbounded recursion in toFormData causes DoS via deeply nested request data 修复版本：0.31.1, 1.15.1 详情 |
| 中 | axios | CVE-2026-44488 | Allocation of Resources Without Limits or Throttling in Axios 修复版本：1.16.0 详情 |
| 中 | axios | CVE-2026-44490 | axios has DoS & Header Injection via Prototype Pollution Read-Side Gadgets in axios merge functions 修复版本：0.32.0, 1.16.0 详情 |
查询的是依赖声明范围的下界（如 ^4.2.0 查 4.2.0），
不是实际安装到的版本。真正装的时候如果解析到了修复版本，就不受影响——
所以这是「可能受影响」，不是「这个插件有漏洞」。数据来自
OSV.dev。