Research Paper Portal

为研究人员创建个性化学术论文导航网站。根据用户的研究领域，自动收集最新论文、生成AI背景图、发布到网站。触发词：创建论文导航网站、学术门户、研究论文网站、论文聚合站、论文导航页。

要点与建议： - 环境与配置：技能文档要求 OPENALEX_EMAIL、COMFYUI_URL、LLM 资源等，但 manifest 没有声明这些变量；在安装前准备好这些配置，并在安全的网络/主机上运行 ComfyUI（最好在内网或受信环境）。 - 命令执行风险：update-papers.py 用 subprocess.run(..., shell=True) 调用 LLM CLI，若你将 llm_command 指向不受信的程序或通过配置注入，可能被利用执行任意命令。将 llm_command 固定为可信二进制或改用参数化调用（避免 shell=True）更安全。 - 文件与文档不一致：文档引用的 convert-images.py、admin.html 未在包中找到；arXiv 搜索函数实现不完整。不要在生产站点直接部署——先在隔离环境/容器中测试并补齐或修复缺失/有缺陷部分。 - 网络与隐私：脚本会向 OpenAlex、arXiv、ComfyUI 发起请求；确认这些端点符合你的隐私/合规要求，并限制对公共模型或第三方 API 的敏感凭据暴露（例如 Claude API key）。 - 运行建议：先在本地/VM 中手动审阅并运行脚本，检查生成的文件路径与权限；将 ComfyUI 部署在受控机器（非公网可写地址）；如果不熟悉代码，考虑请求开发者提供改进后的版本（去掉 shell=True、统一从 config/env 读取 COMFYUI_URL、修复 arXiv 解析、补充缺失文件）。 如果你希望，我可以列出具体代码行的改进建议（例如如何安全地替换 subprocess 调用、如何统一读取环境配置、以及需要补充或修复的文件清单）。

Type: OpenClaw Skill Name: research-paper-portal Version: 1.0.0 The skill bundle contains a significant shell injection vulnerability in 'scripts/update-papers.py'. The script uses 'subprocess.run' with 'shell=True' to execute an LLM command, incorporating paper titles and abstracts fetched from external APIs (OpenAlex and arXiv) directly into the shell string. This could allow for Remote Code Execution (RCE) if a processed paper contains malicious characters. While this is a critical security flaw, there is no clear evidence of intentional malice, data exfiltration, or hidden backdoors; the overall functionality aligns with the stated purpose of creating a research paper portal.