メディアアップロードを受け付け、ffmpegで処理（音声文字起こし、動画処理、画像変換）するアプリケーションをテストする際に使用します。アップロードエンドポイントがファイルのマジックバイトを検証せず、ffmpegがプロトコル制限なしに呼び出される場合、file:// セグメントURLを含むHLSプレイリストにより、アプリケーションレベルのACLをすべてバイパスして、ユーザー間のファイル読み取りが可能になります。トリガー: 「メディアアップロード」「音声処理」「ffmpeg」「文字起こし」「ファイルアップロード」「HLS」「m3u8」「ファイル読み取り」「メディア経由のLFI」「ユーザー間ファイル読み取り」
このスキルは、メディアアップロードをffmpegで処理するWebアプリケーションのセキュリティテストを支援します。ffmpegは多くの形式のメディアを処理する強力なツールですが、`-protocol_whitelist` オプションなどで明示的に制限されていない場合、`file://` プロトコルを使用してローカルファイルを読み取ることができます。このスキルは、アップロード検証の欠陥とffmpegのプロトコル許可の組み合わせを悪用します。具体的には、悪意のあるHLS（M3U8）プレイリストをアップロードし、そのセグメントURLとして `file:///etc/passwd` などのシステムファイルを指定します。アプリケーションがマジックバイトを確認せず、ffmpegが `file://` プロトコルを許可している場合、サーバー上の任意のファイルを読み取り、その内容を応答として返すことが可能になります。このスキルは、Claude Code、Coder、Cursor、CodexなどのAIエージェントで動作するように設計されており、`ffmpeg`、`HLS`、`m3u8`、`ファイルアップロード`、`LFI` などのキーワードでトリガーされます。
npx skills add https://github.com/valdiviasec/mosrai/tree/main/skills/ffmpeg-hls-crossuser-filereadメディアアップロードを受け付け、ffmpegで処理（音声文字起こし、動画処理、画像変換）するアプリケーションをテストする際に使用します。アップロードエンドポイントがファイルのマジックバイトを検証せず、ffmpegがプロトコル制限なしに呼び出される場合、file:// セグメントURLを含むHLSプレイリストにより、アプリケーションレベルのACLをすべてバイパスして、ユーザー間のファイル読み取りが可能になります。トリガー: "メディアアップロード", "音声処理", "ffmpeg", "文字起こし", "ファイルアップロード", "HLS", "m3u8", "ファイル読み取り", "メディア経由のLFI", "ユーザー間ファイル読み取り"
Extract frames or short clips from videos using ffmpeg.
Summarize or transcribe URLs, YouTube/videos, podcasts, articles, transcripts, PDFs, and local files.
Use when testing, fixing, or extending the OpenClaw Control UI GUI with Vitest + Playwright end-to-end checks, mocked Gateway WebSocket flows, mocked dashboard runs, screenshots/videos, or agent-verifiable browser proof.
Obra superpowers agent skills.
See, Understand, Act on video and audio. See- ingest from local files, URLs, RTSP/live feeds, or live record desktop; return realtime context and playable stream links. Understand- extract frames, build visual/semantic/temporal indexes, and search moments with timestamps and auto-clips. Act- transcode and normalize (codec, fps, resolution, aspect ratio), perform timeline edits (subtitles, text/image overlays, branding, audio overlays, dubbing, translation), generate media assets (image, audio...
End-to-end marketing campaign planning and execution. Covers audience research, positioning, campaign angle definition, landing page copy, email sequences, social posts, ad copy, short-form video scripts, and content calendars. Use as the orchestration layer for multi-channel product launches. Use when planning or executing a multi-channel product launch, or producing landing page, email, social, or ad copy.