@open3cl/engine 1.8.6 → 1.8.7

package/README.md

@@ -403,24 +403,24 @@ Ces résultats sont **générés automatiquement** à la fin de `npm run test:co
 
 <table>
 <tr>
-<td align="center"><strong>5,01 ms</strong><br/><sub>moyenne</sub></td>
-<td align="center"><strong>4,31 ms</strong><br/><sub>médiane</sub></td>
-<td align="center"><strong>0,13 ms</strong><br/><sub>min</sub></td>
-<td align="center"><strong>567,2 ms</strong><br/><sub>max</sub></td>
+<td align="center"><strong>4,99 ms</strong><br/><sub>moyenne</sub></td>
+<td align="center"><strong>4,34 ms</strong><br/><sub>médiane</sub></td>
+<td align="center"><strong>0,12 ms</strong><br/><sub>min</sub></td>
+<td align="center"><strong>795,0 ms</strong><br/><sub>max</sub></td>
 </tr>
 </table>
 
 | Corpus                                         | Moyenne | Médiane |     Min |      Max |     p95 |     p99 |
 | :--------------------------------------------- | ------: | ------: | ------: | -------: | ------: | ------: |
-| **Généraliste**                                | 4,04 ms | 3,63 ms | 0,21 ms |  24,9 ms | 7,45 ms | 10,8 ms |
-| **Appartement · chauffage individuel (2025)**  | 3,20 ms | 2,93 ms | 1,18 ms |  28,6 ms | 5,51 ms | 7,45 ms |
-| **Logement individuel (2025)**                 | 4,73 ms | 4,22 ms | 1,38 ms |  33,1 ms | 8,88 ms | 12,4 ms |
-| **Maison individuelle (2025)**                 | 5,37 ms | 4,79 ms | 1,68 ms |  52,5 ms | 9,69 ms | 13,3 ms |
-| **Immeuble · chauffage individuel**            | 7,43 ms | 6,08 ms | 0,19 ms | 137,8 ms | 16,0 ms | 28,0 ms |
-| **Appartement · chauffage collectif (2025)**   | 3,82 ms | 3,40 ms | 1,24 ms |  31,6 ms | 6,52 ms | 8,64 ms |
-| **Immeuble · chauffage collectif**             | 5,47 ms | 4,55 ms | 0,13 ms | 104,3 ms | 10,4 ms | 19,2 ms |
-| **Immeuble · chauffage mixte**                 | 5,31 ms | 4,38 ms | 0,22 ms | 567,2 ms | 10,9 ms | 17,8 ms |
-| **Individuel généré depuis l'immeuble (2026)** | 5,72 ms | 4,85 ms | 1,75 ms |  61,2 ms | 11,0 ms | 17,3 ms |
+| **Généraliste**                                | 4,35 ms | 3,85 ms | 0,20 ms |  33,1 ms | 8,16 ms | 12,1 ms |
+| **Appartement · chauffage individuel (2025)**  | 3,41 ms | 3,06 ms | 1,22 ms |  28,0 ms | 6,11 ms | 8,14 ms |
+| **Logement individuel (2025)**                 | 4,94 ms | 4,40 ms | 1,34 ms |  39,1 ms | 9,35 ms | 13,0 ms |
+| **Maison individuelle (2025)**                 | 5,73 ms | 5,16 ms | 1,68 ms |  46,0 ms | 10,3 ms | 14,4 ms |
+| **Immeuble · chauffage individuel**            | 6,80 ms | 5,84 ms | 0,17 ms | 103,2 ms | 13,6 ms | 21,9 ms |
+| **Appartement · chauffage collectif (2025)**   | 3,94 ms | 3,59 ms | 1,28 ms |  32,1 ms | 6,56 ms | 8,87 ms |
+| **Immeuble · chauffage collectif**             | 5,42 ms | 4,60 ms | 0,12 ms | 107,9 ms | 10,3 ms | 17,0 ms |
+| **Immeuble · chauffage mixte**                 | 5,14 ms | 4,17 ms | 0,19 ms | 795,0 ms | 10,7 ms | 17,3 ms |
+| **Individuel généré depuis l'immeuble (2026)** | 5,14 ms | 4,41 ms | 1,54 ms |  44,0 ms | 9,66 ms | 14,5 ms |
 
 <sub>La moyenne est tirée vers le haut par les DPE collectifs, dont le coût atteint plusieurs
 dizaines de fois la médiane : c’est la médiane qui décrit le cas courant, et p95/p99 le cas

package/core/file/infrastructure/adapter/file.store.js

@@ -10,7 +10,11 @@ export class FileStore {
    * @return {Promise<any>}
    */
   async downloadXlsxFileAndConvertToJson(url) {
-    return fetch(url)
+    const parsedUrl = new URL(url);
+    if (!['http:', 'https:'].includes(parsedUrl.protocol)) {
+      throw new Error(`Unsupported protocol for url: ${url}`);
+    }
+    return fetch(parsedUrl)
       .then((res) => res.arrayBuffer())
       .then((buffer) =>
         this.#excelWorkBookToJson(XLSX.read(buffer, { type: 'string', raw: false }))

package/core/file/infrastructure/adapter/file.store.spec.js

@@ -39,6 +39,7 @@ describe('FileStore', () => {
     vi.mocked(XLSX.utils.sheet_to_json).mockReset();
     vi.mocked(XLSX.utils.encode_col).mockClear();
     vi.mocked(XLSX.utils.encode_row).mockClear();
+    vi.mocked(global.fetch).mockClear();
 
     // Comportements par défaut « nominaux ».
     vi.mocked(readFile).mockImplementation((path, cb) => cb(null, Buffer.from(new ArrayBuffer(1))));
@@ -57,13 +58,44 @@ describe('FileStore', () => {
       const output = await fileStore.downloadXlsxFileAndConvertToJson('http://localhost:8080');
 
       expect(output).toEqual({ Sheet1: [] });
-      // Le buffer téléchargé est lu par XLSX avec les bonnes options.
-      expect(fetch).toHaveBeenCalledWith('http://localhost:8080');
+      // La protection CWE-918 construit une véritable instance `URL` (validée) avant l'appel à
+      // `fetch` : on vérifie le type et le `href` réel plutôt qu'une égalité de chaîne, car
+      // `new URL()` normalise l'URL (ajout du `/` final).
+      expect(fetch).toHaveBeenCalledTimes(1);
+      const [urlArgument] = vi.mocked(fetch).mock.calls[0];
+      expect(urlArgument).toBeInstanceOf(URL);
+      expect(urlArgument.href).toBe('http://localhost:8080/');
       expect(XLSX.read).toHaveBeenCalledWith(expect.anything(), {
         type: 'string',
         raw: false
       });
     });
+
+    describe('validation du protocole (CWE-918)', () => {
+      test.each(['http://localhost:8080', 'https://localhost:8080'])(
+        'accepte les URLs avec le protocole %s',
+        async (url) => {
+          const fileStore = new FileStore();
+
+          await expect(fileStore.downloadXlsxFileAndConvertToJson(url)).resolves.toEqual({
+            Sheet1: []
+          });
+
+          expect(fetch).toHaveBeenCalledTimes(1);
+        }
+      );
+
+      test("rejette une URL avec un protocole non http/https (ex. file://) et n'appelle pas fetch", async () => {
+        const fileStore = new FileStore();
+        const url = 'file:///etc/passwd';
+
+        await expect(fileStore.downloadXlsxFileAndConvertToJson(url)).rejects.toThrow(
+          `Unsupported protocol for url: ${url}`
+        );
+
+        expect(fetch).not.toHaveBeenCalled();
+      });
+    });
   });
 
   describe('readLocalOdsFileAndConvertToJson', () => {

package/engine.js

@@ -33,7 +33,7 @@ import getFicheTechnique from './ficheTechnique.js';
 import { ProductionENR } from './16.2_production_enr.js';
 import DpeSanitizerService from './dpe-sanitizer.service.js';
 
-const LIB_VERSION = '1.8.6';
+const LIB_VERSION = '1.8.7';
 
 const dpeSanitizerService = new DpeSanitizerService();
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@open3cl/engine",
-  "version": "1.8.6",
+  "version": "1.8.7",
   "description": "Open Source 3CL-DPE engine",
   "main": "index.js",
   "directories": {