blun-king-cli 9.1.513 → 9.1.514

package/CHANGELOG.md

@@ -1,5 +1,11 @@
 # Changelog
 
+## 9.1.514 - 2026-08-31
+
+- Rejects nonnumeric Telegram message IDs and malformed precomputed chat hashes before they can enter the content-free delivery lifecycle journal.
+- Closes a fail-open diagnostic edge where a forged queue envelope could smuggle text through the field named `message_id`, even though normal Telegram message IDs are positive decimal numbers.
+- Adds a negative privacy regression and keeps the complete package suite green at 133 tests without changing Telegram routing, queueing, acknowledgement, or replay behavior.
+
 ## 9.1.513 - 2026-08-31
 
 - Adds one bounded Telegram delivery lifecycle journal that connects bridge receipt, TUI injection, queue class, attempt, acceptance, commit or restore, quarantine, and durable acknowledgement by message ID.

package/LIESMICH.txt

@@ -9,18 +9,11 @@ Installation
 ------------
 Die geprüfte Version exakt global installieren:
 
-  npm install -g blun-king-cli@9.1.513
+  npm install -g blun-king-cli@9.1.514
 
 AgentSpine 0.10.1
 -----------------
-Version 9.1.513 liefert AgentSpine 0.10.1 als neue inhaltsadressierte
-Pluginfassung. Der Preflight prueft weiterhin jede aktive Host-Anweisungsdatei
-race-sicher und bindet SHA-256 sowie Dateiidentitaet an den Zug, dupliziert den
-bereits vom Host geladenen Volltext aber nicht mehr in den Laufzeitkontext.
-Die reale 15.519-Byte-CLAUDE.md-Probe blieb dadurch bei 5.667 injizierten Byte.
-Der Stand enthaelt ausserdem den selbstheilenden Persona- und Beziehungsgraphen,
-die begrenzte Telegram-Mnemo-Abfrage und eine sichtbare Fuenf-Sekunden-Grenze
-fuer lokale Beziehungsabfragen.
+Version 9.1.514 enthält weiterhin AgentSpine 0.10.1 als inhaltsadressierte Pluginfassung. Der Preflight prüft jede aktive Host-Anweisungsdatei weiterhin race-sicher und bindet SHA-256 sowie Dateiidentität an den Zug, dupliziert den bereits vom Host geladenen Volltext aber nicht im Laufzeitkontext. Die reale Probe mit einer 15.519 Byte großen `CLAUDE.md` blieb dadurch bei 5.667 injizierten Byte. Der Stand enthält außerdem den selbstheilenden Persona- und Beziehungsgraphen, die begrenzte Telegram-Mnemo-Abfrage und eine sichtbare Fünf-Sekunden-Grenze für lokale Beziehungsabfragen.
 
 Start
 -----

package/README.md

@@ -9,19 +9,12 @@ Voraussetzung ist Node.js 24.15 oder neuer. Die geprüfte Version wird exakt
 installiert:
 
 ```powershell
-npm install -g blun-king-cli@9.1.513
+npm install -g blun-king-cli@9.1.514
 ```
 
 ## AgentSpine 0.10.1
 
-Version 9.1.513 liefert AgentSpine 0.10.1 als neue inhaltsadressierte
-Pluginfassung. Der Preflight prueft weiterhin jede aktive Host-Anweisungsdatei
-race-sicher und bindet SHA-256 sowie Dateiidentitaet an den Zug, dupliziert den
-bereits vom Host geladenen Volltext aber nicht mehr in den Laufzeitkontext.
-Die reale 15.519-Byte-`CLAUDE.md`-Probe blieb dadurch bei 5.667 injizierten Byte.
-Der Stand enthaelt ausserdem den selbstheilenden Persona- und Beziehungsgraphen,
-die begrenzte Telegram-Mnemo-Abfrage und eine sichtbare Fuenf-Sekunden-Grenze
-fuer lokale Beziehungsabfragen.
+Version 9.1.514 enthält weiterhin AgentSpine 0.10.1 als inhaltsadressierte Pluginfassung. Der Preflight prüft jede aktive Host-Anweisungsdatei weiterhin race-sicher und bindet SHA-256 sowie Dateiidentität an den Zug, dupliziert den bereits vom Host geladenen Volltext aber nicht im Laufzeitkontext. Die reale Probe mit einer 15.519 Byte großen `CLAUDE.md` blieb dadurch bei 5.667 injizierten Byte. Der Stand enthält außerdem den selbstheilenden Persona- und Beziehungsgraphen, die begrenzte Telegram-Mnemo-Abfrage und eine sichtbare Fünf-Sekunden-Grenze für lokale Beziehungsabfragen.
 
 ## Reproduzierbares Staging und Packen
 

package/bin/telegram-delivery-lifecycle.cjs

@@ -20,13 +20,25 @@ function boundedInteger(value) {
   return Math.min(number, Number.MAX_SAFE_INTEGER);
 }
 
+function numericMessageId(value) {
+  if (value === undefined || value === null) return undefined;
+  const text = String(value);
+  return /^[1-9][0-9]{0,39}$/u.test(text) ? text : undefined;
+}
+
+function strictChatHash(value) {
+  if (value === undefined || value === null) return undefined;
+  const text = String(value);
+  return /^[a-f0-9]{12}$/u.test(text) ? text : undefined;
+}
+
 function hashChatId(chatId) {
   if (chatId === undefined || chatId === null || String(chatId).length === 0) return undefined;
   return crypto.createHash('sha256').update(String(chatId)).digest('hex').slice(0, 12);
 }
 
 function telegramDeliveryIdentity(meta = {}) {
-  const messageId = cleanToken(meta.message_id ?? meta.messageId, 40);
+  const messageId = numericMessageId(meta.message_id ?? meta.messageId);
   const chatHash = hashChatId(meta.chat_id ?? meta.chatId);
   return {
     ...(messageId === undefined ? {} : { messageId }),
@@ -35,11 +47,15 @@ function telegramDeliveryIdentity(meta = {}) {
 }
 
 function lifecycleRecord(event, now, pid) {
+  const messageId = numericMessageId(event.messageId);
+  const chatHash = event.chatHash === undefined
+    ? undefined
+    : strictChatHash(event.chatHash);
   const identity = {
-    ...(event.messageId === undefined ? {} : { messageId: cleanToken(event.messageId, 40) }),
+    ...(messageId === undefined ? {} : { messageId }),
     ...(event.chatHash === undefined
       ? telegramDeliveryIdentity({ chatId: event.chatId })
-      : { chatHash: cleanToken(event.chatHash, 12) }),
+      : chatHash === undefined ? {} : { chatHash }),
   };
   const record = {
     version: 1,

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "blun-king-cli",
-  "version": "9.1.513",
+  "version": "9.1.514",
   "description": "BLUN CLI - your own AI agent with a Telegram channel. Get it done. With BLUN.",
   "license": "MIT",
   "bin": {

package/telegram-plugin/bin/telegram-delivery-lifecycle.cjs

@@ -20,13 +20,25 @@ function boundedInteger(value) {
   return Math.min(number, Number.MAX_SAFE_INTEGER);
 }
 
+function numericMessageId(value) {
+  if (value === undefined || value === null) return undefined;
+  const text = String(value);
+  return /^[1-9][0-9]{0,39}$/u.test(text) ? text : undefined;
+}
+
+function strictChatHash(value) {
+  if (value === undefined || value === null) return undefined;
+  const text = String(value);
+  return /^[a-f0-9]{12}$/u.test(text) ? text : undefined;
+}
+
 function hashChatId(chatId) {
   if (chatId === undefined || chatId === null || String(chatId).length === 0) return undefined;
   return crypto.createHash('sha256').update(String(chatId)).digest('hex').slice(0, 12);
 }
 
 function telegramDeliveryIdentity(meta = {}) {
-  const messageId = cleanToken(meta.message_id ?? meta.messageId, 40);
+  const messageId = numericMessageId(meta.message_id ?? meta.messageId);
   const chatHash = hashChatId(meta.chat_id ?? meta.chatId);
   return {
     ...(messageId === undefined ? {} : { messageId }),
@@ -35,11 +47,15 @@ function telegramDeliveryIdentity(meta = {}) {
 }
 
 function lifecycleRecord(event, now, pid) {
+  const messageId = numericMessageId(event.messageId);
+  const chatHash = event.chatHash === undefined
+    ? undefined
+    : strictChatHash(event.chatHash);
   const identity = {
-    ...(event.messageId === undefined ? {} : { messageId: cleanToken(event.messageId, 40) }),
+    ...(messageId === undefined ? {} : { messageId }),
     ...(event.chatHash === undefined
       ? telegramDeliveryIdentity({ chatId: event.chatId })
-      : { chatHash: cleanToken(event.chatHash, 12) }),
+      : chatHash === undefined ? {} : { chatHash }),
   };
   const record = {
     version: 1,