DSH插件目录
R

remote-dsh

github.com/icodesign/orbis

v0.5.1 其他 含混淆或编码代码发起网络请求

Orbis 是一个适配 Deepseek Harness (DSH) 远程控制客户端端软件。

作者原文（英文）

Orbis remote plugin for DeepSeek Harness

中文简介由 DeepSeek 模型翻译，仅供参考。

deepseek-harnessdshorbisremote
分类
other
发布
2026-10-07
版本
v0.5.1

检测报告

有一定能力。命中了若干能力模式，大多是插件正常工作时会用到的。
2需留意1一般21未命中
高关注需留意一般

能力清单

  • 含混淆或编码代码obfuscated-code需留意29 处命中
    • dist/client.js:159intro: "\u5728\u624B\u673A\u4E0A\u4F7F\u7528 Orbis\uFF0C\u5B89\u5168\u8FDE\u63A5\u8FD9\u53F0\u7535\u8111\uFF0C\u7EE7\u7E…
    • dist/client.js:161setupHint: "\u8BBE\u7F6E\u4E00\u4E2A\u5BB9\u6613\u8BC6\u522B\u7684\u540D\u79F0\uFF0C\u5B83\u4F1A\u663E\u793A\u5728 Orbis…
    • dist/client.js:180noNetwork: "\u8FD9\u53F0\u7535\u8111\u76EE\u524D\u6CA1\u6709\u8FDE\u63A5\u5230\u53EF\u7528\u7F51\u7EDC\u3002",
    • dist/client.js:181networkHint: "\u5EFA\u8BAE\u8BA9\u624B\u673A\u548C\u7535\u8111\u8FDE\u63A5\u540C\u4E00\u4E2A Wi-Fi\uFF1B\u4E5F\u53EF\u4E…
    • 混淆本身不是恶意，但公开源码里出现大段混淆值得问一句为什么。
  • 发起网络请求network需留意2 处命中
    • dist/client.js:1390const response = await fetch(path, {
    • dist/client.js:1408const response = await fetch(path, { cache: "no-store" });
    • 看请求发往哪些域名。发往作者自己的后端是常见做法。
  • 接触凭据或密钥credentials一般17 处命中
    • README.md:216## State and credentials
    • README.md:218- The host private identity uses DSH credentials under
    • README.md:220- Only non-secret host configuration and paired public keys are stored in
    • README.md:230- A pairing secret lives in memory only for its active invitation and is never
    • 看它读取哪些凭据、发往哪里。用于登录自己的服务是正常的。
逐条扫描明细
能力标识关注度命中次数
含混淆或编码代码obfuscated-code需留意29
发起网络请求network需留意2
接触凭据或密钥credentials一般17

这份报告的口径

扫描读的是包里的源码，全程不执行第三方代码。 本次读了 4 个文件，扫描于 2026-10-14。 命中次数只说明源码里出现过这类调用，不说明行为好坏——一个插件读写文件 500 次和 1 次 都会被记为「读取文件」。这是能力清单，不是信任评分，也不是安全结论： 没扫出来的能力可能只是写法没被规则覆盖。

依赖安全公告

这个插件声明的依赖中，有 2 条已公开的安全公告 （最高等级：中）：

等级依赖包编号摘要
中wsCVE-2026-45736ws: Uninitialized memory disclosure
修复版本：8.20.1 详情 →
中wsCVE-2026-48779ws: Memory exhaustion DoS from tiny fragments and data chunks
修复版本：5.2.5, 6.2.4, 7.5.11 详情 →

查询的是依赖声明范围的下界（如 ^4.2.0 查 4.2.0）， 不是实际安装到的版本。真正装的时候如果解析到了修复版本，就不受影响—— 所以这是「可能受影响」，不是「这个插件有漏洞」。数据来自 OSV.dev。

← 返回全部插件