discovery-media-player 0.1.23 → 0.1.24

package/context/storage.js

@@ -142,10 +142,24 @@ const TYPES = {
  * des premières pages avant la fin du téléchargement.
  */
 async function readLocal(cible, range) {
-  let stat;
-  try { stat = await fsp.stat(cible); } catch { return null; }
-  if (!stat.isFile()) return null;
+  // ⚠️ ON OUVRE D'ABORD, ON INTERROGE ENSUITE. `stat(chemin)` puis `open(chemin)` sont deux
+  // résolutions du même NOM à deux instants : entre les deux, le fichier peut avoir été remplacé.
+  // On lisait alors les octets du NOUVEAU fichier avec la taille de l'ANCIEN — un `Content-Range`
+  // qui ne décrit pas ce qu'il transporte, donc un document faux sans qu'aucune erreur ne sorte.
+  // Un descripteur, lui, désigne un objet et non un nom : `fh.stat()` parle du même fichier que
+  // `fh.read()`, quoi qu'il advienne du chemin entre-temps.
+  let fh;
+  try { fh = await fsp.open(cible, "r"); } catch { return null; }
+  try {
+    const stat = await fh.stat();
+    if (!stat.isFile()) return null;
+    return await lireDepuis(fh, stat, cible, range);
+  } finally {
+    await fh.close();
+  }
+}
 
+async function lireDepuis(fh, stat, cible, range) {
   const type = TYPES[path.extname(cible).toLowerCase()] || "application/octet-stream";
   const total = stat.size;
   const m = /^bytes=(\d*)-(\d*)$/.exec(String(range || ""));
@@ -159,17 +173,12 @@ async function readLocal(cible, range) {
     statut = 206;
   }
 
-  const fh = await fsp.open(cible, "r");
-  try {
-    const buf = Buffer.alloc(fin - debut + 1);
-    const { bytesRead } = await fh.read(buf, 0, buf.length, debut);
-    const corps = bytesRead === buf.length ? buf : buf.subarray(0, bytesRead);
-    const entetes = { "content-type": type };
-    if (statut === 206) entetes["content-range"] = `bytes ${debut}-${fin}/${total}`;
-    return reponse(statut, entetes, corps);
-  } finally {
-    await fh.close();
-  }
+  const buf = Buffer.alloc(fin - debut + 1);
+  const { bytesRead } = await fh.read(buf, 0, buf.length, debut);
+  const corps = bytesRead === buf.length ? buf : buf.subarray(0, bytesRead);
+  const entetes = { "content-type": type };
+  if (statut === 206) entetes["content-range"] = `bytes ${debut}-${fin}/${total}`;
+  return reponse(statut, entetes, corps);
 }
 
 function reponse(status, entetes, corps) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "discovery-media-player",
-  "version": "0.1.23",
+  "version": "0.1.24",
   "description": "Self-hosted document viewer: per-recipient tracked links, reading analytics, live presentation. The core knows nothing about the application hosting it — everything it borrows arrives through an injected context.",
   "keywords": [
     "pdf-viewer",

package/server/handler.js

@@ -2755,7 +2755,13 @@ async function handler(req, res) {
       if (body.action === "reshare") {
         const mail = String(body.email || "").trim().toLowerCase();
         const j = (status, obj) => { res.statusCode = status; res.setHeader("Content-Type", "application/json"); res.end(JSON.stringify(obj)); };
-        if (!/.+@.+\..+/.test(mail)) return j(400, { ok: false, error: "email" });
+        // ⚠️ LA LONGUEUR AVANT LE MOTIF — et ici ce n'est pas de la prudence, c'est mesuré :
+        // `.+@.+\..+` reprend à chaque position de départ, coût 49 ms sur 10 000 caractères,
+        // 3 900 ms sur 100 000. Une seule requête, sur une route ouverte au lecteur, bloquait la
+        // boucle d'événements quatre secondes — l'instance entière, pas seulement l'appelant.
+        // Le débit (8/h par IP) ne protégeait rien : il est vérifié APRÈS, deux lignes plus bas.
+        // 254 est le maximum d'une adresse (RFC 5321) : au-delà ce n'est pas « long », c'est faux.
+        if (mail.length > 254 || !/.+@.+\..+/.test(mail)) return j(400, { ok: false, error: "email" });
         const ip = adresseAppelant(req) || "anon";
         const allowed = await PLAYER.limits.allow(`reshare:${ip}`, 8, 3600);
         if (!allowed) return j(429, { ok: false, error: "rate", message: "Trop de partages, réessayez plus tard." });

package/server/shares.js

@@ -58,6 +58,10 @@ async function createReshare(parentSlug, { email, name }) {
   //     rapport qui a mené ici.
   //   • `allow_download` (défaut `true`) — le bouton Télécharger revenait sur un document où il
   //     avait été refusé.
+  //     ⚠️ À ne pas prendre pour une protection : c'est une PRÉFÉRENCE D'AFFICHAGE. Le lecteur qui
+  //     voit le document en a déjà les octets ; masquer le bouton retire une commodité, pas un
+  //     accès. Un document qu'on ne veut pas voir sortir ne doit pas être partagé, ou doit l'être
+  //     derrière `require_auth` — celui-là, lui, décide de qui obtient les octets.
   //   • `brand_key` — la marque se perdait à l'endroit exact où le document commence à circuler :
   //     le lecteur d'un document VALONEUF transmettait un lien qui s'ouvre sous une autre marque.
   //