@mocoto/mahoraga 0.14.6 → 0.14.7

package/dist/core/utils/exec-safe.js

@@ -1,19 +1,32 @@
 // SPDX-License-Identifier: MIT
-import { execSync } from 'node:child_process';
+import { execFileSync } from 'node:child_process';
+import path from 'node:path';
 import { config } from '../config/index.js';
 import { getMessages } from '../messages/index.js';
-// Expressão regular para detectar shell metacharacters perigosos
-// que permitiriam injeção de comandos adicionais.
-// Bloqueia: ; | & ` $() ${} <> \n
-const SHELL_INJECTION_RE = /[;|&`]|\$[({]|\${|>|<|\\n/;
 /**
- * Valida que o comando não contém caracteres de injeção shell.
- * @param cmd - Comando a validar
- * @throws Error se o comando contiver padrões perigosos
+ * Allowlist de binários que o CLI pode executar externamente.
+ * Apenas comandos essenciais para operação do ferramenta são permitidos.
+ * Isso substitui a abordagem anterior de blacklist de caracteres shell,
+ * eliminando o vetor de injeção por shell intermediário.
  */
-function validarComando(cmd) {
-    if (SHELL_INJECTION_RE.test(cmd)) {
-        throw new Error(`Comando rejeitado por segurança: contém caracteres de injeção shell.`);
+const BINARIOS_PERMITIDOS = new Set([
+    'git',
+    'npm',
+    'npx',
+    'node',
+    'pnpm',
+    'yarn',
+    'corepack',
+]);
+/**
+ * Valida que o binário está na allowlist.
+ * @param bin - Caminho ou nome do binário
+ * @throws Error se o binário não for permitido
+ */
+function validarBinario(bin) {
+    const nome = path.basename(bin);
+    if (!BINARIOS_PERMITIDOS.has(nome)) {
+        throw new Error(getMessages().ExecSafeMensagens.binarioNaoPermitido(bin));
     }
 }
 function verificarSafeMode() {
@@ -22,28 +35,37 @@ function verificarSafeMode() {
     }
 }
 /**
- * Executa um comando shell de forma segura.
+ * Executa um binário de forma segura sem shell intermediário.
+ *
  * Bloqueia a execução quando SAFE_MODE está ativo e ALLOW_EXEC não está habilitado.
- * Também valida o comando contra injeção shell mesmo quando a execução é permitida.
- * @param cmd - Comando shell a executar
- * @param opts - Opções do execSync do Node.js
+ * Valida o binário contra uma allowlist de comandos permitidos.
+ * Força `shell: false` para eliminar o risco de injeção de comandos.
+ *
+ * @param bin - Binário a executar (ex: 'git', 'npm')
+ * @param args - Argumentos do binário (array de strings)
+ * @param opts - Opções adicionais do child_process
  * @returns Buffer ou string com a saída do comando
- * @throws Error se SAFE_MODE estiver ativo sem ALLOW_EXEC ou se o comando for inválido
+ * @throws Error se SAFE_MODE estiver ativo sem ALLOW_EXEC,
+ *         se o binário não estiver na allowlist,
+ *         ou se a execução falhar
  */
-export function executarShellSeguro(cmd, opts = {}) {
-    validarComando(cmd);
+export function executarShellSeguro(bin, args = [], opts = {}) {
+    validarBinario(bin);
     verificarSafeMode();
-    return execSync(cmd, opts);
+    return execFileSync(bin, args, { ...opts, shell: false });
 }
 /**
  * Versão assíncrona do `executarShellSeguro`.
  * Wrapper async que delega ao sync, útil em contextos que já utilizam await.
- * @param cmd - Comando shell a executar
- * @param opts - Opções do execSync do Node.js
+ *
+ * @param bin - Binário a executar (ex: 'git', 'npm')
+ * @param args - Argumentos do binário (array de strings)
+ * @param opts - Opções adicionais do child_process
  * @returns Promise resolvida com Buffer ou string da saída do comando
- * @throws Error se SAFE_MODE estiver ativo sem ALLOW_EXEC
+ * @throws Error se SAFE_MODE estiver ativo sem ALLOW_EXEC,
+ *         se o binário não estiver na allowlist,
+ *         ou se a execução falhar
  */
-export function executarShellSeguroAsync(cmd, opts = {}) {
-    // wrapper assíncrono que delega ao sync (usado onde já há await)
-    return executarShellSeguro(cmd, opts);
+export function executarShellSeguroAsync(bin, args = [], opts = {}) {
+    return executarShellSeguro(bin, args, opts);
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@mocoto/mahoraga",
-  "version": "0.14.6",
+  "version": "0.14.7",
   "type": "module",
   "description": "C.L.I modular para análise, diagnóstico e manutenção de projetos JavaScript/TypeScript e multi-stack leve",
   "author": "rei macaco",
@@ -116,46 +116,39 @@
     "THIRD-PARTY-NOTICES.txt"
   ],
   "dependencies": {
-    "@babel/parser": "^8.0.0",
-    "@babel/traverse": "^8.0.0",
-    "@babel/types": "^8.0.0",
+    "@babel/parser": "^8.0.4",
+    "@babel/traverse": "^8.0.4",
+    "@babel/types": "^8.0.4",
     "chalk": "^5.6.2",
     "commander": "^15.0.0",
     "dotenv": "^17.4.2",
     "fast-xml-parser": "^5.9.3",
     "htmlparser2": "^12.0.0",
-    "marked": "^18.0.5",
+    "marked": "^18.0.6",
     "micromatch": "^4.0.8",
     "minimatch": "^10.2.5",
     "openpgp": "^6.3.1",
     "ora": "^9.4.1",
     "p-limit": "^7.3.0",
+    "postcss": "^8.5.16",
     "postcss-sass": "^0.5.0",
     "postcss-scss": "^4.0.9",
     "xxhashjs": "^0.2.2",
-    "yaml": "^2.9.0",
-    "postcss": "^8.5.16"
+    "yaml": "^2.9.0"
   },
   "devDependencies": {
     "@types/micromatch": "^4.0.10",
-    "@types/node": "^26.1.0",
-    "@typescript-eslint/eslint-plugin": "^8.62.1",
-    "@typescript-eslint/parser": "^8.62.1",
+    "@types/node": "^26.1.1",
     "@vitest/coverage-istanbul": "^4.1.8",
     "@vitest/coverage-v8": "^4.1.8",
     "autoprefixer": "^10.5.2",
-    "eslint": "^10.6.0",
-    "eslint-import-resolver-typescript": "^4.4.5",
-    "eslint-plugin-import-x": "^4.17.1",
-    "eslint-plugin-simple-import-sort": "^13.0.0",
-    "eslint-plugin-unused-imports": "^4.4.1",
     "husky": "^9.1.7",
     "license-checker-rseidelsohn": "^5.0.1",
     "lint-staged": "^17.0.8",
     "rimraf": "^6.1.3",
-    "tsc-alias": "^1.8.17",
+    "tsc-alias": "^1.9.0",
     "tsx": "^4.23.0",
-    "typescript": "^6.0.3",
+    "typescript": "^7.0.2",
     "vitest": "^4.1.8"
   },
   "lint-staged": {