install-duckdb
duckdb/duckdb-skills / skills/install-duckdb
installe ou met à jour des extensions DuckDB , ce qui améliore : évite les commandes manuelles
Fiche
- note du juge
- 8/10
- place
- hors pack
- éditeur
- duckdb
- statut
- nouveau
- commit épinglé
- 7feda8e sur GitHub (nouvel onglet)
- dernier commit du skill
- 20 mars 2026
- étoiles du dépôt
- 609
- type principal
- Data
Jugement
Skill officiel DuckDB, ciblé et précis (commandes exactes). Valeur limitée : il enveloppe INSTALL et UPDATE EXTENSIONS. Défauts : arguments injectés sans échappement, annexe eval.sh absente.
réserves
- L'annexe eval.sh est annoncée mais n'est pas fournie : le juge ne peut pas la vérifier.
- Les arguments utilisateur sont insérés tels quels dans une chaîne shell et SQL, sans consigne d'échappement ni de validation des noms.
- Les instructions de mise à jour du CLI ne couvrent pas tous les cas (pas de gestion de Linux sans curl, ni de confirmation avant exécution des commandes d'upgrade par gestionnaire de paquets).
- Déclenchement
- 2/2
- Valeur ajoutée
- 1/2
- Précision
- 2/2
- Périmètre
- 2/2
- Qualité
- 1/2
Alertes
5 alertes, par catégorie
Scan statique
- risque critique
télécharge et exécute un script (curl | sh)
- risque info
frontmatter allowed-tools
Bash
- risque info
scripts embarqués, que le SKILL.md ne lance pas
eval.sh
Exécution
- risque élevé
Injection de commande ou de SQL : un argument contenant des guillemets ou un point-virgule est injecté dans `"$DUCKDB" :memory: -c "INSTALL ..."` sans échappement.
- risque élevé
Les extensions communautaires `name@repo` installent du code natif tiers dans le processus DuckDB, sans avertissement ni confirmation explicite dans le skill.
Description d’origine
Install or update DuckDB extensions. Each argument is either a plain extension name (installs from core) or name@repo (e.g. magic@community). Pass --update to update extensions instead of installing.
ajouté le 19 oct. 2026 · licence MIT