narou 3.7.2 → 3.8.0

checksums.yaml

@@ -1,7 +1,7 @@
 ---
 SHA256:
-  metadata.gz: 19f8ca4a5c4225bab91baaf79b822783531ec9165aff057cd7711f8dd0836ab2
-  data.tar.gz: 852f0b011c02a4a961b0944b4b563e56fb0513761090d07e98d7c47b42917c26
+  metadata.gz: 77ab6235ef1ca1a8b4118c2986f51dacb824833df2cdb10132bbd9635d9dde1b
+  data.tar.gz: 718dd667b95a2301cb99f7e9e52d05698ecd88aef8b2864cce89efecf46e0fb3
 SHA512:
-  metadata.gz: 975b3f44546689d96febb73ae0f624db9808fd48671b8bb991e12b66cfac3f604c0717a84a17ee0a383af899df58b9b4780101ee4d98d09398cd0187cdb88889
-  data.tar.gz: 2cb5b7dc872a58f5e4312435967e62300c83ba013da3df7b3989dd12e8c96a88e61b493ef8f742bdc202e7143734a3d6ec19c9dd0dfc8121de18df4ae9b97936
+  metadata.gz: 4325e3c255961dc300b5485f28c55cbe3443c7061ce520b65d32109c4acf97264653d4c9e77fda8dff65a094600e0f598a7beccc3465adc96e29cffde24dc6d6
+  data.tar.gz: 78ab226c92e31c198896ed9289f62a0e907a72a17026c15c23175ae9f45fd5b7b11f63972b14607f19642ea3d112019d44762d1da33440d7fc21d3900df9182f

data/ChangeLog.md

@@ -1,6 +1,14 @@
 更新履歴 - ChangeLog
 ====================
 
+3.8.0: 2021/06/27
+-----------------
+#### 修正内容
+- タイトル名もしくは作者名に特定の記号を使うことで任意のコードを実行できて
+  しまう問題を修正 [CVE-2021-35514]
+  - この問題を発見した RyotaK に感謝します
+
+
 3.7.2: 2021/06/05
 -----------------
 #### 追加機能

data/Gemfile.lock

@@ -1,7 +1,7 @@
 PATH
   remote: .
   specs:
-    narou (3.7.1)
+    narou (3.7.2)
       activesupport (>= 6.1, < 8.0)
       diff-lcs (~> 1.2, >= 1.2.5)
       erubis (~> 2.7)
@@ -45,7 +45,6 @@ GEM
       tilt
     i18n (1.8.10)
       concurrent-ruby (~> 1.0)
-    jar-dependencies (0.4.1)
     mail (2.6.6)
       mime-types (>= 1.16, < 4)
     memoist (0.11.0)
@@ -63,16 +62,10 @@ GEM
     pry (0.13.1)
       coderay (~> 1.1)
       method_source (~> 1.0)
-    pry (0.13.1-java)
-      coderay (~> 1.1)
-      method_source (~> 1.0)
-      spoon (~> 0.0)
     pry-byebug (3.9.0)
       byebug (~> 11.0)
       pry (~> 0.13.0)
     psych (4.0.0)
-    psych (4.0.0-java)
-      jar-dependencies (>= 0.1.7)
     rack (2.2.3)
     rack-protection (2.1.0)
       rack
@@ -114,8 +107,6 @@ GEM
       rack-protection (= 2.1.0)
       sinatra (= 2.1.0)
       tilt (~> 2.0)
-    spoon (0.0.6)
-      ffi
     systemu (2.6.5)
     temple (0.8.2)
     termcolorlight (1.1.1)

data/README.md

@@ -34,15 +34,12 @@ Narou.rb - 小説家になろうのダウンローダ＆縦書き整形＆管理
 更新履歴 - ChangeLog
 --------------------
 
-3.7.2: 2021/06/05
+3.8.0: 2021/06/27
 -----------------
-#### 追加機能
-- folder コマンドに --no-open (-n) オプションを追加しました
-
 #### 修正内容
-- gem update を行うとクラッシュする場合があったのを修正
-  - psych 4.0 からの非互換に対応
-- その他軽微な修正
+- タイトル名もしくは作者名に特定の記号を使うことで任意のコードを実行できて
+  しまう問題を修正 [CVE-2021-35514]
+  - この問題を発見した RyotaK に感謝します
 
 ----
 

data/lib/downloader.rb

@@ -778,6 +778,7 @@ class Downloader
       @setting["story"] = story_html.to_aozora
     end
     @setting["info"] = info
+    replace_external_properties_of_setting
 
     @setting["title"] = get_title
     if series_novel?
@@ -1303,4 +1304,9 @@ class Downloader
       Template.write(filename, novel_dir_path, binding, binary_version)
     end
   end
+
+  def replace_external_properties_of_setting
+    @setting["title"] = @setting["title"].delete("\r\n")
+    @setting["author"] = @setting["author"].delete("\r\n")
+  end
 end

data/lib/loadconverter.rb

@@ -10,7 +10,7 @@ BlankConverter = Class.new(ConverterBase) {}
 
 $latest_converter = nil
 
-def converter(title, &block)
+def converter(_title = nil, &block)
   $latest_converter = Class.new(ConverterBase, &block)
 end
 
@@ -58,7 +58,7 @@ end
 #     buffer
 #   end
 # end
-def load_converter(title, archive_path)
+def load_converter(archive_path)
   converter_path = File.join(archive_path, "converter.rb")
   if File.exist?(converter_path)
     $latest_converter = nil
@@ -71,9 +71,8 @@ def load_converter(title, archive_path)
   if conv
     return conv
   else
-    title_for_converter = (title =~ /.txt\z/ ? title : File.basename(archive_path))
     error "converter.rbは見つかりましたが、`converter'で登録されていないようです。" +
-          "変換処理は converter \"#{title_for_converter.gsub('"', '\\"')}\" として登録する必要があります"
+          "変換処理は converter do ... end として登録する必要があります"
     return BlankConverter
   end
 end

data/lib/novelconverter.rb

@@ -568,7 +568,7 @@ class NovelConverter
   # 各小説用の converter.rb 変換オブジェクトを生成
   #
   def create_converter
-    load_converter(@novel_title, @setting.archive_path).new(@setting, @inspector, @illustration)
+    load_converter(@setting.archive_path).new(@setting, @inspector, @illustration)
   end
 
   #

data/lib/version.rb

@@ -5,5 +5,5 @@
 #
 
 module Narou
-  VERSION = "3.7.2"
+  VERSION = "3.8.0"
 end

data/narou.gemspec

@@ -32,15 +32,12 @@ Gem::Specification.new do |gem|
   install_message = <<-EOS
 #{"*" * 60}
 
-3.7.2: 2021/06/05
+3.8.0: 2021/06/27
 -----------------
-#### 追加機能
-- folder コマンドに --no-open (-n) オプションを追加しました
-
 #### 修正内容
-- gem update を行うとクラッシュする場合があったのを修正
-  - psych 4.0 からの非互換に対応
-- その他軽微な修正
+- タイトル名もしくは作者名に特定の記号を使うことで任意のコードを実行できて
+  しまう問題を修正 [CVE-2021-35514]
+  - この問題を発見した RyotaK に感謝します
 
 #{"*" * 60}
   EOS

data/template/converter.rb.erb

@@ -1,15 +1,8 @@
 # -*- coding: utf-8 -*-
 <% Template.target_binary_version(1.0) -%>
 
-#
-# 対象小説情報
-# タイトル: <%= @setting["title"] %>
-# 作者: <%= @setting["author"] %>
-# URL: <%= @setting["toc_url"] %>
-#
 # 詳細については http://bit.ly/1vTEH04 を参照して下さい
-#
-converter "<%= file_title.gsub('"', '\"') %>" do
+converter do
   # 各種変換処理がされる「前」の生データに対しての変換処理を記述
   def before(io, text_type)
     super

metadata

@@ -1,14 +1,14 @@
 --- !ruby/object:Gem::Specification
 name: narou
 version: !ruby/object:Gem::Version
-  version: 3.7.2
+  version: 3.8.0
 platform: ruby
 authors:
 - whiteleaf7
 autorequire:
 bindir: bin
 cert_chain: []
-date: 2021-06-05 00:00:00.000000000 Z
+date: 2021-06-27 00:00:00.000000000 Z
 dependencies:
 - !ruby/object:Gem::Dependency
   name: termcolorlight
@@ -709,15 +709,12 @@ metadata: {}
 post_install_message: |
   ************************************************************
 
-  3.7.2: 2021/06/05
+  3.8.0: 2021/06/27
   -----------------
-  #### 追加機能
-  - folder コマンドに --no-open (-n) オプションを追加しました
-
   #### 修正内容
-  - gem update を行うとクラッシュする場合があったのを修正
-    - psych 4.0 からの非互換に対応
-  - その他軽微な修正
+  - タイトル名もしくは作者名に特定の記号を使うことで任意のコードを実行できて
+    しまう問題を修正 [CVE-2021-35514]
+    - この問題を発見した RyotaK に感謝します
 
   ************************************************************
 rdoc_options: []