deel-local-cli 1.8.0 → 1.10.0

package/src/pack/tar.js

@@ -1,6 +1,7 @@
 // tar 읽기. GitHub 가 주는 tarball 을 풀기 위한 최소 구현.
 // git 이 없는 기기에서도 플러그인을 받을 수 있어야 해서 필요하다.
 import { gunzipSync } from 'node:zlib';
+import { resolve, sep } from 'node:path';
 
 const BLOCK = 512;
 
@@ -15,12 +16,43 @@ function octal(buf, off, len) {
   return s ? parseInt(s, 8) : 0;
 }
 
+/*
+ * ── 작게 받아서 크게 푸는 묶음(압축 폭탄) ───────────────────────────────
+ *
+ * 받는 쪽(plugins/manage.js)은 **압축된** 크기를 64MB 로 막는다. 그런데
+ * 0 으로만 채운 파일은 천 배 넘게 줄어든다 — 64MB 짜리 하나가 풀면 수십 GB 다.
+ * gunzipSync 는 그걸 통째로 메모리에 올리므로, 화면에는 아무 말도 안 남고
+ * 프로세스가 그대로 죽는다. 사용자가 보는 것은 「플러그인을 깔아 줘」 라고
+ * 시킨 뒤 deel 이 사라진 것뿐이다 — 하던 대화까지 같이.
+ *
+ * 그래서 **푼 크기**에도 상한을 둔다. 256MB 로 잡은 까닭은 받는 상한의 네 배라서다.
+ * 플러그인은 글과 스크립트 묶음이라 서너 배까지는 부푼다. 그보다 더 부푸는 것은
+ * 플러그인이 아니라 폭탄으로 본다.
+ */
+export const 푼것상한 = 256 * 1024 * 1024;
+
 /**
  * gzip 된 tar 를 풀어 파일 목록을 돌려준다.
+ * @param {Buffer} gz
+ * @param {object} o
+ * @param {number} o.상한 푼 크기 상한. 검사가 작은 값으로 부르려고 열어 뒀다 —
+ *   256MB 를 진짜로 만들어 재면 그 검사 하나가 기계를 잡아먹는다.
  * @returns {Array<{name:string, data:Buffer, mode:number}>}
  */
-export function untargz(gz) {
-  const buf = gunzipSync(gz);
+export function untargz(gz, { 상한 = 푼것상한 } = {}) {
+  let buf;
+  try {
+    buf = gunzipSync(gz, { maxOutputLength: 상한 });
+  } catch (err) {
+    // 조용히 죽는 대신 왜 안 되는지 말한다. 이 말은 install 이 그대로 화면에 올린다.
+    if (err?.code === 'ERR_BUFFER_TOO_LARGE') {
+      // MB 로만 적으면 작은 상한이 「0MB」 가 된다 — 사람에게 아무 말도 안 하는 숫자다.
+      const 상한말 = 상한 >= 1024 * 1024 ? `${Math.round(상한 / 1024 / 1024)}MB` : `${Math.round(상한 / 1024)}KB`;
+      throw new Error(`푼 크기가 상한(${상한말})을 넘습니다`
+        + ' — 압축만 작고 풀면 몇 GB 가 되는 묶음입니다. 저장소가 맞는지 확인하세요.');
+    }
+    throw err;
+  }
   const out = [];
   let pos = 0;
   let longName = null;
@@ -67,3 +99,34 @@ export function stripTop(files) {
   if (!files.every((f) => f.name.startsWith(first + '/'))) return files;
   return files.map((f) => ({ ...f, name: f.name.slice(first.length + 1) }));
 }
+
+/**
+ * 이 이름이 풀 폴더 **안쪽**을 가리키나.
+ *
+ * ── 왜 있어야 하나 ──────────────────────────────────────────────────────
+ *
+ * tar 안의 이름은 **남이 적은 글자**다. 우리가 만든 것이 아니다. 그걸 그대로
+ * join(dest, name) 에 넣으면 `../../../..` 하나로 폴더 밖에 파일을 쓴다.
+ * 받는 쪽이 mkdirSync(recursive) 까지 해 주므로 없는 폴더도 만들어 가며 나간다.
+ *
+ *   name: '../../../../윗동네에쓰기.txt'
+ *   dest: C:\Users\누군가\.deel\plugins\x
+ *   →    C:\Users\윗동네에쓰기.txt
+ *
+ * 이 프로그램이 파는 문장이 「작업 폴더 밖은 안 만진다」 인데, 플러그인을
+ * 받는 길에는 그 문장을 지키는 코드가 한 줄도 없었다. 여기서 막는다 —
+ * 푸는 자리마다 따로 적으면 언젠가 한 곳이 빠진다.
+ *
+ * 절대경로·드라이브 문자도 같이 걸린다. resolve 는 절대경로를 만나면 뿌리를
+ * 통째로 갈아 치우므로, 그 결과가 뿌리로 시작하지 않는다.
+ */
+export function 안쪽인가(뿌리, 이름) {
+  const 뿌리절대 = resolve(String(뿌리 ?? ''));
+  const 갈곳 = resolve(뿌리절대, String(이름 ?? ''));
+  return 갈곳 === 뿌리절대 || 갈곳.startsWith(뿌리절대 + sep);
+}
+
+/** 풀 폴더 밖을 가리키는 것만 골라 준다. 하나라도 있으면 그 묶음은 안 푼다. */
+export function 밖을가리키는것(뿌리, files) {
+  return (files ?? []).filter((f) => !안쪽인가(뿌리, f?.name));
+}

package/src/plugins/manage.js

@@ -9,7 +9,7 @@ import {
   existsSync, mkdirSync, writeFileSync, readFileSync, rmSync,
   readdirSync, statSync,
 } from 'node:fs';
-import { untargz, stripTop } from '../pack/tar.js';
+import { untargz, stripTop, 밖을가리키는것 } from '../pack/tar.js';
 import { makeZip } from '../pack/zip.js';
 import { allowTemporarily, isOffline, NetBlocked } from '../safety/network.js';
 import { 원시요청, 몸읽기 } from '../backend/http.js';
@@ -54,6 +54,45 @@ function run(cmd, args, opts = {}) {
   });
 }
 
+/**
+ * 받은 묶음을 폴더에 푼다.
+ *
+ * ── 왜 따로 떼어 놨나 ───────────────────────────────────────────────────
+ *
+ * 이 몇 줄이 **남이 준 글자로 디스크에 파일을 쓰는 자리**다. 이 프로그램에서
+ * 제일 조심해야 하는 대목인데, fetchInto 안에 묻혀 있어서 검사가 한 번도 안
+ * 지나갔다. 거기까지 가려면 진짜로 네트워크에서 tarball 을 받아야 했기 때문이다.
+ *
+ * 그래서 「받는 일」 과 「푸는 일」 을 갈랐다. 푸는 일은 이제 파일 목록만 주면
+ * 그대로 재 볼 수 있다 — 남이 노리고 만든 묶음을 먹여 보는 것을 포함해서.
+ *
+ * ── 무엇을 막나 ─────────────────────────────────────────────────────────
+ *
+ * tar 안의 이름은 남이 적은 글자다. `../../../..` 하나면 플러그인 폴더 밖에
+ * 파일을 쓴다. 아래 mkdirSync 가 recursive 라 없는 폴더까지 만들어 가며 나간다.
+ * 이 프로그램이 파는 문장이 「작업 폴더 밖은 안 만진다」 인데, 플러그인을 받는
+ * 이 길에만 그 문장을 지키는 코드가 없었다.
+ *
+ * 나쁜 것만 골라 버리지 않고 **묶음째 거절한다.** 밖을 가리키는 이름이 든
+ * 묶음은 실수가 아니라 노린 것이고, 나머지를 풀어 줄 까닭이 없다.
+ * 그리고 **rmSync 앞에서** 막는다 — 거절할 묶음 때문에 이미 깔린 것을
+ * 지워 버리면 안 된다.
+ */
+export function 묶음풀기(dest, files) {
+  if (!files?.length) return { error: '받은 묶음이 비어 있습니다' };
+  const 밖엣것 = 밖을가리키는것(dest, files);
+  if (밖엣것.length) {
+    return { error: `묶음 안에 플러그인 폴더 밖을 가리키는 이름이 있습니다 — 풀지 않았습니다: ${밖엣것[0].name}` };
+  }
+  rmSync(dest, { recursive: true, force: true });
+  for (const f of files) {
+    const p = join(dest, f.name);
+    mkdirSync(dirname(p), { recursive: true });
+    writeFileSync(p, f.data);
+  }
+  return { 푼것: files.length };
+}
+
 // 받는 방법 두 가지. git 이 있으면 clone, 없으면 tarball 을 내려받아 푼다.
 async function fetchInto(spec, dest, onStep) {
   if (await has('git')) {
@@ -96,14 +135,12 @@ async function fetchInto(spec, dest, onStep) {
       for (const 닫기 of 열어둔) 닫기();
     }
     if (!gz) return { error: '받은 묶음이 너무 큽니다 (64MB 넘음) — 플러그인 저장소가 맞는지 확인하세요' };
-    const files = stripTop(untargz(gz));
-    if (!files.length) return { error: '받은 묶음이 비어 있습니다' };
-    rmSync(dest, { recursive: true, force: true });
-    for (const f of files) {
-      const p = join(dest, f.name);
-      mkdirSync(dirname(p), { recursive: true });
-      writeFileSync(p, f.data);
-    }
+    // 받는 크기만 막으면 압축 폭탄에 그대로 당한다 (pack/tar.js 푼것상한 머리말).
+    // 던지는 것을 여기서 받아 화면에 올린다 — 안 받으면 명령이 통째로 죽는다.
+    let 푼것;
+    try { 푼것 = 묶음풀기(dest, stripTop(untargz(gz))); }
+    catch (err) { return { error: `받은 묶음을 풀지 못했습니다 — ${String(err?.message ?? err)}` }; }
+    if (푼것.error) return { error: 푼것.error };
     return { how: 'tarball', branch };
   }
   return { error: '받지 못했습니다 — 저장소 주소나 가지 이름을 확인하세요' };