ConnectWise Automate

需要提供 CW_AUTOMATE_SERVER_URL、CLIENT_ID、用户名、密码及 2FA 代码，属于高敏感身份凭证，若配置泄露可被用于访问或操作 ConnectWise Automate 租户；但材料未显示将凭证发送到无关第三方。

虽未列出固定远程 host，但从 SERVER_URL 可推断会连接用户配置的 ConnectWise Automate 服务端，并传输与 computers、clients、alerts、scripts 相关的管理数据。这属于该类 RMM 集成的常规联网行为，当前未见外发到不明端点的证据。

系统检查项标记为 executes-code，且描述明确涉及 scripts，说明该工具具备执行脚本/代码的能力。这对 RMM 场景属常规高权限能力，应限制可调用范围并审慎授权，但仅凭该能力本身不足以上调为高风险。

按描述其可访问 ConnectWise Automate 中的 computers、clients、alerts 与 scripts，意味着可接触设备清单、客户信息、告警和自动化脚本等运营数据。材料未显示本地文件系统的额外读写范围，也未见明显超出其声明功能的过度授权线索。

来源为官方 Registry，且有公开源码可审计，并在近一年内有更新；这些都是降低供应链风险的正面因素。虽然仓库未声明许可证且社区 star 很低，仍建议在部署前自行审阅代码与依赖锁定情况，但当前未见明显供应链红旗。