natureco-cli 5.42.0 → 5.43.0

package/CHANGELOG.md

@@ -2,6 +2,23 @@
 
 All notable changes to NatureCo CLI will be documented in this file.
 
+## [5.43.0] - 2026-07-08 — "SECURITY: 9 açık kapatıldı (3 turluk güvenlik incelemesi)"
+
+### Security
+3 turluk güvenlik incelemesinde bulunan **9 gerçek, kanıtlanmış açık** kapatıldı. Her biri için kırmızı→yeşil regresyon testi eklendi (+29 test → 567 yeşil). Maddeler ve düzeltmeler:
+
+1. **shell_command onay/güvenlik bypass'ı (KRİTİK/RCE)**: `shell_command.js` `checkCommand`/`isDangerousCommand` akışını atlayıp doğrudan `spawn('bash','-c',...)` yapıyordu → model/prompt-injection `bash` yerine bunu çağırıp onaysız sınırsız shell kazanabiliyordu. Artık bash.js ile aynı güvenlik akışından geçer; `tool-runner.js` needsConfirm'e de eklendi.
+2. **isSafeCommand prefix bypass (YÜKSEK)**: `startsWith` ile `echo hi; rm -rf ~` gibi zincirler "safe" sayılıyordu. Artık shell metakarakteri içeren komut asla safe değil + kelime-sınırı prefix; `node -e` (inline eval) safe listesinden çıkarıldı.
+3. **config.json zayıf izinler (ORTA)**: API anahtarları `0644` (dünya-okunabilir) yazılıyordu → `0600` dosya + `0700` dizin/yedek + chmod fallback.
+4. **WhatsApp session dizini zayıf izinler (ORTA)**: Baileys kimlik dosyaları → `0700` (parent dahil) + chmod fallback.
+5. **document_extract shell injection (DÜŞÜK)**: `execSync(\`pdftotext "${filePath}" -\`)` → `execFileSync` (shell yok). Aynı desen `social_open`/`youtube_ac` (pgrep) ve `phone_control_enhanced` (adb) araçlarında da temizlendi.
+6. **Skill indirme → prompt injection → RCE zinciri (KRİTİK)**: `skills_download` `KNOWN_REPOS`'u kullanmıyor, herhangi bir GitHub reposu indiriliyordu (SKILL.md → system prompt enjeksiyonu → madde 1'le RCE). Artık yalnızca `KNOWN_REPOS` + kullanıcı onaylı `skills-allowlist.json`; `additionalFiles`/skill-adı path-traversal koruması; `skills_autoload` ham içerik enjeksiyonunu bırakıp kontrollü `skill_view`'e yönlendiriyor.
+7. **Kanal gönderen doğrulaması yok + hafıza sızıntısı (YÜKSEK)**: Slack/Signal/IRC/Mattermost'ta allow-list kontrolü yoktu ve tüm kanallar paylaşımlı hafızayı system prompt'a ekliyordu. Ortak `channelGate`: allow-list kuruluysa yetkisizi engeller, kurulu değilse yanıt verir ama **kişisel hafızayı enjekte etmez** (Signal/IRC/Mattermost + bonus iMessage/SMS; Slack stub).
+8. **admin-rpc kimlik doğrulamasız + 0.0.0.0 (KRİTİK)**: RPC sunucusu tüm arayüzlerde, auth'suz dinliyordu → `config.get` ile tüm API key'ler okunabiliyordu. Artık `127.0.0.1` bind (opsiyonel `--expose`) + zorunlu bearer token (`~/.natureco/admin-token`, 0600) + `config.get` secret maskeleme (`reveal:true` gerektirir). dashboard varsayılanı zaten localhost (doğrulandı).
+9. **cron_create komut onayı atlıyor (KRİTİK/persistence)**: `command` kontrolsüz gerçek sistem crontab'ına yazılıyordu (oturum kapansa bile çalışan persistence). Artık tehlikeli komut reddedilir; sistem crontab'ına yazma varsayılan KAPALI (agent tetikleyemez), yalnızca uygulama-içi `crons.json`'a yazılır.
+
+Doğrulama: 567 test yeşil (29 yeni güvenlik regresyonu), ESLint temiz, `npm run smoke` geçti. Ayrıntılı belge: `SECURITY_AUDIT_SUMMARY.md`.
+
 ## [5.42.0] - 2026-07-08 — "TOKEN OPTIMİZASYONU: her istekte ~18K token israfı → ~4.5K (%76 azalma)"
 
 Kullanıcı token maliyetini sordu; ölçüm yapıldı ve ciddi bir israf bulundu: basit bir "merhaba" bile **18,763 token** prompt gönderiyordu. Kök neden: `skill-index.js` her sysMsg'e YÜZLERCE skill'in TAM `description`'ını gömüyordu (satır 75 `- name: description`), her istekte tekrar.

package/SECURITY_AUDIT_SUMMARY.md

@@ -0,0 +1,40 @@
+# Security Audit Summary — natureco-cli
+
+**Denetim:** 3 turluk güvenlik incelemesi
+**Bulgular:** 9 gerçek, kanıtlanmış açık
+**Düzeltme tarihi:** 2026-07-08 (sürüm 5.43.0)
+**Doğrulama:** 567 test yeşil (+29 güvenlik regresyonu), ESLint temiz, `npm run smoke` geçti
+
+Her bulgu için kırmızı→yeşil regresyon testi eklendi. Aşağıda önem sırasına göre listelenmiştir.
+
+| # | Önem | Bulgu | Dosya(lar) | Durum | Test |
+|---|------|-------|-----------|-------|------|
+| 1 | Kritik/RCE | shell_command onay/güvenlik akışını atlıyordu | `src/tools/shell_command.js`, `src/utils/tool-runner.js` | ✅ Düzeltildi | `security-hardening.test.js` |
+| 2 | Yüksek | isSafeCommand prefix bypass (`echo hi; rm -rf ~`) | `src/utils/approvals.js` | ✅ Düzeltildi | `security-hardening.test.js` |
+| 3 | Orta | config.json 0644 (dünya-okunabilir API key) | `src/utils/config.js` | ✅ Düzeltildi | `security-permissions.test.js` |
+| 4 | Orta | WhatsApp session dizini zayıf izinler | `src/commands/gateway-server.js` | ✅ Düzeltildi | (izin kontrolü, POSIX) |
+| 5 | Düşük | document_extract + pgrep/adb shell injection | `document_extract.js`, `social_open.js`, `youtube_ac.js`, `phone_control_enhanced.js` | ✅ Düzeltildi | `security-permissions.test.js` |
+| 6 | Kritik/RCE | Skill indirme (keyfi repo) → prompt injection zinciri | `src/tools/skills_download.js`, `src/tools/skills_autoload.js` | ✅ Düzeltildi | `skills-download-security.test.js` |
+| 7 | Yüksek | Kanal gönderen doğrulaması yok + hafıza sızıntısı | `src/commands/gateway-server.js` | ✅ Düzeltildi | `channel-gate-security.test.js` |
+| 8 | Kritik | admin-rpc auth'suz + 0.0.0.0 dinliyor | `src/commands/admin-rpc.js` | ✅ Düzeltildi | `admin-rpc-security.test.js` |
+| 9 | Kritik/persistence | cron_create sistem crontab'ına kontrolsüz yazıyor | `src/tools/cron_create.js` | ✅ Düzeltildi | `cron-security.test.js` |
+
+## Düzeltme özetleri
+
+**1 + 6 (RCE zinciri):** Madde 6 (keyfi skill indirme → system-prompt enjeksiyonu) ile madde 1 (`shell_command` bypass) birlikte tam bir uzaktan kod çalıştırma zinciri oluşturuyordu. İkisi de kapatıldı: skill indirme yalnızca `KNOWN_REPOS` + kullanıcı onaylı allowlist ile; `shell_command` artık `bash.js` ile aynı `checkCommand`/`isDangerousCommand`/onay akışından geçiyor.
+
+**2:** `isSafeCommand` artık shell metakarakteri (`; && | \` $() > …`) içeren hiçbir komutu "safe" saymıyor; prefix eşleşmesi kelime sınırında; `node -e` (inline eval) güvenli listeden çıkarıldı.
+
+**3 + 4:** Hassas dosya/dizinler (config.json + API key yedekleri, WhatsApp oturum dosyaları) artık `0600`/`0700` ile, eski kurulumlar için `chmod` fallback ile korunuyor.
+
+**5:** Kullanıcı/model girdisi içeren tüm `execSync(\`...${...}\`)` desenleri `execFileSync` (shell yok) veya tırnak-farkındalıklı tokenizer'a çevrildi.
+
+**7:** Ortak `channelGate` helper'ı — allow-list kuruluysa yetkisiz göndereni engeller; kurulu değilse yanıt verir ama kişisel hafızayı system prompt'a **enjekte etmez** (anonim kanaldan hafıza sızıntısını önler).
+
+**8:** admin-rpc artık `127.0.0.1`'e bind (opsiyonel `--expose` ile 0.0.0.0, token yine zorunlu) + her istekte `Authorization: Bearer <token>` (`~/.natureco/admin-token`, 0600) + `config.get` yanıtında secret maskeleme (`reveal:true` ile açılır).
+
+**9:** cron_create tehlikeli komutu reddeder; sistem crontab'ına yazma varsayılan olarak kapalı (schema'da parametre yok → ajan tetikleyemez), yalnızca uygulama-içi `crons.json`'a yazar (natureco daemon kontrollü çalıştırır).
+
+## Kalan not (defense-in-depth)
+- Madde 6'da ana vektör (keyfi repo indirme) kapatıldı. Elle `~/.natureco/skills/` altına konan skill'ler için per-skill ilk-kullanım onayı gelecek bir iyileştirme olarak değerlendirilebilir; şimdilik autoload ham içerik enjeksiyonu kaldırıldı.
+- `--expose` ile admin-rpc'yi dışa açmak yalnızca güvenilir ağda ve token ile önerilir.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "natureco-cli",
-  "version": "5.42.0",
+  "version": "5.43.0",
   "description": "OpenClaw'dan daha güvenli, daha hızlı, daha ucuz AI agent CLI. Multi-agent, self-evolving skills, audit log, maliyet optimizasyonu ve NatureCo platform-native.",
   "bin": {
     "natureco": "bin/natureco.js"
@@ -13,6 +13,7 @@
     "README.md",
     "CHANGELOG.md",
     "AUDIT.md",
+    "SECURITY_AUDIT_SUMMARY.md",
     "DEPLOY_v2.0.0.md"
   ],
   "scripts": {

package/src/commands/admin-rpc.js

@@ -15,11 +15,60 @@ const ALLOWED_METHODS = [
 
 let serverInstance = null;
 
+// v5.43 GÜVENLİK: RPC sunucusu kimlik doğrulamasız ve 0.0.0.0'da dinliyordu → config.get
+// ile tüm API key'ler ağdan okunabilir, config.set ile providerUrl kaçırılabilirdi.
+// Zorunlu bearer token + localhost bind + secret maskeleme.
+const SENSITIVE_KEY_RE = /(api[-_]?key|token|secret|password|passwd|credential|authorization|bearer|access[-_]?key|private[-_]?key)/i;
+
+function maskSecrets(obj, reveal) {
+  if (reveal) return obj;
+  const walk = (o) => {
+    if (o === null || typeof o !== 'object') return o;
+    if (Array.isArray(o)) return o.map(walk);
+    const out = {};
+    for (const [k, v] of Object.entries(o)) {
+      if (SENSITIVE_KEY_RE.test(k) && typeof v === 'string' && v) {
+        out[k] = v.length > 8 ? `${v.slice(0, 3)}****${v.slice(-3)}` : '****';
+      } else {
+        out[k] = walk(v);
+      }
+    }
+    return out;
+  };
+  return walk(obj);
+}
+
+function getOrCreateAdminToken() {
+  const fs = require('fs');
+  const path = require('path');
+  const os = require('os');
+  const crypto = require('crypto');
+  const dir = path.join(os.homedir(), '.natureco');
+  const tokenFile = path.join(dir, 'admin-token');
+  try {
+    if (fs.existsSync(tokenFile)) {
+      const t = fs.readFileSync(tokenFile, 'utf8').trim();
+      if (t) { try { fs.chmodSync(tokenFile, 0o600); } catch {} return t; }
+    }
+  } catch {}
+  const token = crypto.randomBytes(32).toString('hex');
+  try {
+    if (!fs.existsSync(dir)) fs.mkdirSync(dir, { recursive: true, mode: 0o700 });
+    fs.writeFileSync(tokenFile, token, { mode: 0o600 });
+    fs.chmodSync(tokenFile, 0o600);
+  } catch {}
+  return token;
+}
+
 function adminRpc(args) {
   const [action, ...params] = args || [];
 
   if (!action || action === 'status') return statusAdmin();
-  if (action === 'start') return startAdmin(params[0]);
+  if (action === 'start') {
+    const expose = params.includes('--expose');
+    const portArg = params.find(p => /^\d+$/.test(p));
+    return startAdmin(portArg, { expose });
+  }
   if (action === 'stop') return stopAdmin();
   if (action === 'call') return callMethod(params[0], params.slice(1).join(' '));
   if (action === 'methods') return listMethods();
@@ -103,11 +152,13 @@ async function callMethod(method, jsonParams) {
   if (method === 'config.get') {
     const config = getConfig();
     const key = params.key;
+    const reveal = params.reveal === true;
     if (key) {
       const value = key.split('.').reduce((o, k) => o?.[k], config);
-      console.log(chalk.white(`  ${key}: `) + chalk.cyan(JSON.stringify(value)));
+      const masked = maskSecrets({ [key]: value }, reveal);
+      console.log(chalk.white(`  ${key}: `) + chalk.cyan(JSON.stringify(masked[key])));
     } else {
-      console.log(chalk.cyan(JSON.stringify(config, null, 2)));
+      console.log(chalk.cyan(JSON.stringify(maskSecrets(config, reveal), null, 2)));
     }
     console.log();
     return;
@@ -198,13 +249,17 @@ async function callMethod(method, jsonParams) {
   console.log(chalk.yellow(`  ⚠️  Method "${method}" henüz implemente edilmedi\n`));
 }
 
-function startAdmin(portStr) {
+function startAdmin(portStr, opts = {}) {
   if (serverInstance) {
     console.log(chalk.yellow('\n  ⚠️  Server zaten çalışıyor\n'));
     return;
   }
 
   const port = parseInt(portStr, 10) || 3847;
+  // Varsayılan: yalnızca localhost. --expose ile 0.0.0.0 (token yine ZORUNLU).
+  const expose = opts.expose === true;
+  const host = expose ? '0.0.0.0' : '127.0.0.1';
+  const adminToken = getOrCreateAdminToken();
 
   const server = http.createServer((req, res) => {
     if (req.method !== 'POST') {
@@ -213,6 +268,14 @@ function startAdmin(portStr) {
       return;
     }
 
+    // v5.43 GÜVENLİK: zorunlu bearer token — eşleşmezse 401 (body okumadan reddet).
+    const auth = req.headers['authorization'] || '';
+    if (auth !== `Bearer ${adminToken}`) {
+      res.writeHead(401, { 'Content-Type': 'application/json' });
+      res.end(JSON.stringify({ ok: false, error: 'Unauthorized: Authorization: Bearer <token> gerekli (~/.natureco/admin-token)' }));
+      return;
+    }
+
     let body = '';
     req.on('data', chunk => { body += chunk; });
     req.on('end', async () => {
@@ -239,7 +302,9 @@ function startAdmin(portStr) {
           payload = { gateway: config.gatewayUrl, provider: config.provider, model: config.model };
         } else if (rpc.method === 'config.get') {
           const key = rpc.params?.key;
-          payload = key ? { [key]: key.split('.').reduce((o, k) => o?.[k], config) } : config;
+          const raw = key ? { [key]: key.split('.').reduce((o, k) => o?.[k], config) } : config;
+          // v5.43 GÜVENLİK: hassas alanları maskele; tam değer için params.reveal:true gerekir.
+          payload = maskSecrets(raw, rpc.params?.reveal === true);
         } else if (rpc.method === 'plugins.list') {
           const { loadTools } = require('../utils/tool-runner');
           payload = { tools: Object.keys(loadTools()) };
@@ -273,11 +338,15 @@ function startAdmin(portStr) {
   serverInstance = server;
   serverInstance.port = port;
 
-  server.listen(port, () => {
-    console.log(chalk.green(`\n  ✅ Admin RPC server started on http://localhost:${port}\n`));
-    console.log(chalk.gray('  POST requests with JSON body:'));
-    console.log(chalk.white('    { "method": "health", "id": "req-1" }'));
-    console.log(chalk.white('    { "method": "config.get", "params": { "key": "provider" } }'));
+  server.listen(port, host, () => {
+    console.log(chalk.green(`\n  ✅ Admin RPC server started on http://${host}:${port}\n`));
+    if (expose) {
+      console.log(chalk.red('  ⚠️  --expose ile TÜM ağ arayüzlerinde (0.0.0.0) dinliyor. Bearer token ZORUNLU; yine de yalnızca güvendiğin ağda kullan.'));
+    }
+    console.log(chalk.gray('  Bearer token (~/.natureco/admin-token):'));
+    console.log(chalk.white(`    ${adminToken}`));
+    console.log(chalk.gray('  Örnek istek:'));
+    console.log(chalk.white(`    curl -H "Authorization: Bearer ${adminToken.slice(0, 8)}..." -d '{"method":"health"}' http://127.0.0.1:${port}`));
     console.log(chalk.gray('\n  Press Ctrl+C to stop\n'));
   });
 
@@ -300,3 +369,8 @@ function stopAdmin() {
 }
 
 module.exports = adminRpc;
+// v5.43: test için — auth/bind/maskeleme regresyonu
+module.exports.maskSecrets = maskSecrets;
+module.exports.getOrCreateAdminToken = getOrCreateAdminToken;
+module.exports.startAdmin = startAdmin;
+module.exports.stopAdmin = stopAdmin;

package/src/commands/gateway-server.js

@@ -301,6 +301,15 @@ async function runGatewayWorker() {
 
 async function startWhatsAppProvider(sessionDir, config) {
   try {
+    // v5.43 GÜVENLİK: session dizini Baileys kimlik/oturum dosyalarını tutar; çalınırsa
+    // WhatsApp hesabı ele geçirilebilir → ssh anahtarları gibi 0700 (parent dahil).
+    try {
+      const parent = path.dirname(sessionDir);
+      if (!fs.existsSync(parent)) fs.mkdirSync(parent, { recursive: true, mode: 0o700 });
+      else fs.chmodSync(parent, 0o700);
+      if (!fs.existsSync(sessionDir)) fs.mkdirSync(sessionDir, { recursive: true, mode: 0o700 });
+      else fs.chmodSync(sessionDir, 0o700);
+    } catch { /* best-effort */ }
     const { makeWASocket, useMultiFileAuthState, DisconnectReason, fetchLatestBaileysVersion, Browsers } = loadBaileys();
     
     const { state, saveCreds } = await useMultiFileAuthState(sessionDir);
@@ -543,6 +552,20 @@ async function startDiscordProvider(config) {
   }
 }
 
+// v5.43 GÜVENLİK: Slack/Signal/IRC/Mattermost'ta gönderen doğrulaması YOKTU + tüm
+// kanallar paylaşımlı 'universal-provider' hafızasını system prompt'a ekliyordu →
+// yetkisiz/yabancı gönderene kişisel hafıza sızabiliyordu. channelGate: (1) allow-list
+// kuruluysa yetkisiz göndereni ENGELLE; (2) allow-list kurulu DEĞİLSE yanıt ver ama
+// kişisel hafızayı ENJEKTE ETME (trusted=false) — böylece anonim kanaldan hafıza sızmaz.
+function channelGate(config, channel, senderId) {
+  const allow = config[`${channel}AllowedChats`] || config[`${channel}AllowedNumbers`] || config[`${channel}AllowedUsers`] || [];
+  if (!Array.isArray(allow) || allow.length === 0) {
+    return { allowed: true, trusted: false };
+  }
+  const ok = allow.map(String).includes(String(senderId));
+  return { allowed: ok, trusted: ok };
+}
+
 async function startSlackProvider(config) {
   try {
     const { WebClient } = require('@slack/web-api');
@@ -929,6 +952,10 @@ async function processSignalEnvelope(envelope, config) {
     const dmPolicy = config.signalDmPolicy || 'pairing';
     if (dmPolicy === 'disabled') return;
 
+    // v5.43 GÜVENLİK: gönderen doğrulaması + hafıza sızıntısı önleme
+    const gate = channelGate(config, 'signal', sender);
+    if (!gate.allowed) { log('signal', `Blocked (allow-list): ${sender}`, 'yellow'); return; }
+
     // Get AI response
     try {
       const { sendMessage } = require('../utils/api');
@@ -938,7 +965,7 @@ async function processSignalEnvelope(envelope, config) {
 
       const conversationId = `signal_${sender}`;
       const botId = 'universal-provider';
-      const memoryPrompt = getMemoryPrompt(botId);
+      const memoryPrompt = gate.trusted ? getMemoryPrompt(botId) : '';
 
       let systemPrompt = `You are a helpful Signal assistant. Keep responses concise.`;
       if (memoryPrompt) {
@@ -1184,6 +1211,9 @@ function parseIrcLine(line) {
 }
 
 async function processIrcMessage(config, sender, target, text, socket) {
+  // v5.43 GÜVENLİK: gönderen doğrulaması + hafıza sızıntısı önleme
+  const gate = channelGate(config, 'irc', sender);
+  if (!gate.allowed) { log('irc', `Blocked (allow-list): ${sender}`, 'yellow'); return; }
   try {
     const { sendMessage } = require('../utils/api');
     const { getMemoryPrompt } = require('../utils/memory');
@@ -1192,7 +1222,7 @@ async function processIrcMessage(config, sender, target, text, socket) {
 
     const conversationId = `irc_${sender}_${target}`;
     const botId = 'universal-provider';
-    const memoryPrompt = getMemoryPrompt(botId);
+    const memoryPrompt = gate.trusted ? getMemoryPrompt(botId) : '';
 
     let systemPrompt = `You are a helpful IRC assistant. Keep responses concise. Use IRC-friendly formatting.`;
     if (memoryPrompt) systemPrompt += '\n\n' + memoryPrompt;
@@ -1370,6 +1400,10 @@ async function handleMattermostPost(data, broadcast, config) {
     // Skip system messages
     if (post.props?.from_webhook) return;
 
+    // v5.43 GÜVENLİK: gönderen doğrulaması + hafıza sızıntısı önleme
+    const gate = channelGate(config, 'mattermost', senderId);
+    if (!gate.allowed) { log('mattermost', `Blocked (allow-list): ${senderId}`, 'yellow'); return; }
+
     // Get AI response
     const { sendMessage } = require('../utils/api');
     const { getMemoryPrompt } = require('../utils/memory');
@@ -1378,7 +1412,7 @@ async function handleMattermostPost(data, broadcast, config) {
 
     const conversationId = `mattermost_${channelId}`;
     const botId = 'universal-provider';
-    const memoryPrompt = getMemoryPrompt(botId);
+    const memoryPrompt = gate.trusted ? getMemoryPrompt(botId) : '';
 
     let systemPrompt = `You are a helpful Mattermost assistant. Keep responses concise.`;
     if (memoryPrompt) systemPrompt += '\n\n' + memoryPrompt;
@@ -1578,9 +1612,12 @@ async function processImessageMessage(msg, config) {
     const { getConfig, saveConfig } = require('../utils/config');
     const cfg = getConfig();
 
+    // v5.43 GÜVENLİK: gönderen doğrulaması + hafıza sızıntısı önleme
+    const gate = channelGate(cfg, 'imessage', sender);
+    if (!gate.allowed) { log('imessage', `Blocked (allow-list): ${sender}`, 'yellow'); return; }
     const conversationId = `imessage_${sender}`;
     const botId = 'universal-provider';
-    const memoryPrompt = getMemoryPrompt(botId);
+    const memoryPrompt = gate.trusted ? getMemoryPrompt(botId) : '';
 
     let systemPrompt = `You are a helpful iMessage assistant. Keep responses concise.`;
     if (memoryPrompt) systemPrompt += '\n\n' + memoryPrompt;
@@ -1753,9 +1790,12 @@ async function handleSmsWebhook(config, body, req) {
     const { getConfig, saveConfig } = require('../utils/config');
     const cfg = getConfig();
 
+    // v5.43 GÜVENLİK: gönderen doğrulaması + hafıza sızıntısı önleme
+    const gate = channelGate(config, 'sms', from);
+    if (!gate.allowed) return { status: 200, body: { ok: true, blocked: true } };
     const conversationId = `sms_${from}`;
     const botId = 'universal-provider';
-    const memoryPrompt = getMemoryPrompt(botId);
+    const memoryPrompt = gate.trusted ? getMemoryPrompt(botId) : '';
 
     let systemPrompt = `You are a helpful SMS assistant. Keep responses concise (SMS format).`;
     if (memoryPrompt) systemPrompt += '\n\n' + memoryPrompt;
@@ -2252,3 +2292,5 @@ if (require.main === module || process.argv.includes('--gateway-worker')) {
 }
 
 module.exports = gatewayServer;
+// v5.43: test için — kanal gönderen doğrulaması + hafıza izolasyonu (Madde 7)
+module.exports.channelGate = channelGate;

package/src/tools/cron_create.js

@@ -40,7 +40,7 @@ const SCHEDULE_PRESETS = {
   "every sunday": "0 9 * * 0",
 };
 
-async function createCron({ name, schedule, command, description = "" }) {
+async function createCron({ name, schedule, command, description = "", allowSystemCrontab = false, agentId = "default" }) {
   if (!name) return { success: false, error: "name gerekli" };
   if (!schedule) return { success: false, error: "schedule gerekli (cron expression veya preset)" };
   if (!command) return { success: false, error: "command gerekli (calistirilacak komut)" };
@@ -53,6 +53,16 @@ async function createCron({ name, schedule, command, description = "" }) {
     return { success: false, error: `Gecersiz cron expression: ${resolvedSchedule}` };
   }
 
+  // v5.43 GÜVENLİK: command hiç kontrol edilmeden GERÇEK sistem crontab'ina yaziliyordu
+  // (persistence — oturum kapansa bile suresiz calisir). Artik: (1) tehlikeli komut hic
+  // kaydedilmez; (2) sistem crontab'ina yazma VARSAYILAN OLARAK KAPALI (schema'da param
+  // yok → ajan tetikleyemez) ve ancak checkCommand onayindan gecerse yapilir; ajanin
+  // olusturdugu cron sadece uygulama-ici crons.json'a yazilir (natureco daemon calistirir).
+  const { isDangerousCommand, checkCommand } = require("../utils/approvals");
+  if (isDangerousCommand(command)) {
+    return { success: false, error: "Tehlikeli komut cron olarak eklenemez (guvenlik). Komutu gozden gecirin." };
+  }
+
   const crons = loadCrons();
   const newCron = {
     id: genId(),
@@ -64,54 +74,46 @@ async function createCron({ name, schedule, command, description = "" }) {
     createdAt: new Date().toISOString(),
   };
   crons.push(newCron);
-  saveCrons(crons);
+  saveCrons(crons); // uygulama-ici kayit (guvenli, daemon kontrollu calistirir)
 
-  // İstege bagli: gercek crontab'a da ekle (sistem cron)
-  // Bu tehlikeli olabilir, sadece bilgi veriyoruz
-  let systemCrontabInstalled = false;
-  try {
-    const crontabLine = `${resolvedSchedule} ${command} # natureco:${name}`;
-    const current = execSync("crontab -l 2>/dev/null || echo ''", { encoding: "utf8" });
-    if (!current.includes(`# natureco:${name}`)) {
-      // Kullaniciya soru sormadan eklemiyoruz - sadece komutu gosteriyoruz
-      systemCrontabInstalled = false;
-    }
-  } catch {}
-
-  // v5.2.0: Gercek macOS crontab'a ekle (kullanici crontab, sudo gerekmez)
+  // Sistem crontab'ina yazma: SADECE acik izin (allowSystemCrontab) + guvenlik onayi ile.
   const marker = `# natureco:${name}`;
   let crontabUpdated = false;
   let crontabError = null;
 
-  try {
-    const { execSync } = require("child_process");
-    // Mevcut crontab'i oku
-    let existing = "";
-    try { existing = execSync("crontab -l 2>/dev/null", { encoding: "utf8" }); }
-    catch { existing = ""; }
-
-    // Ayni isimde var mi kontrol
-    if (existing.includes(marker)) {
-      crontabUpdated = false;
+  if (allowSystemCrontab) {
+    const approval = await checkCommand(command, { agentId });
+    if (!approval.allowed) {
+      crontabError = `sistem crontab'a yazma reddedildi (${approval.reason})`;
     } else {
-      const newLine = `${resolvedSchedule} ${command} ${marker}`;
-      const updated = existing + (existing.endsWith("\n") || existing === "" ? "" : "\n") + newLine + "\n";
-      // Yeni crontab yukle (heredoc yerine - ile stdin)
-      execSync("crontab -", { input: updated, encoding: "utf8" });
-      crontabUpdated = true;
+      try {
+        let existing = "";
+        try { existing = execSync("crontab -l 2>/dev/null", { encoding: "utf8" }); }
+        catch { existing = ""; }
+        if (existing.includes(marker)) {
+          crontabUpdated = false;
+        } else {
+          const safeCmd = approval.editedCommand || command;
+          const newLine = `${resolvedSchedule} ${safeCmd} ${marker}`;
+          const updated = existing + (existing.endsWith("\n") || existing === "" ? "" : "\n") + newLine + "\n";
+          execSync("crontab -", { input: updated, encoding: "utf8" });
+          crontabUpdated = true;
+        }
+      } catch (e) {
+        crontabError = e.message;
+      }
     }
-  } catch (e) {
-    crontabError = e.message;
   }
 
   return {
     success: true,
     cron: newCron,
     message: crontabUpdated
-      ? `Cron olusturuldu VE macOS crontab'a eklendi: ${name} (${resolvedSchedule})`
-      : `Cron olusturuldu: ${name} (${resolvedSchedule})${crontabError ? ` - crontab eklenemedi: ${crontabError}` : ""}`,
+      ? `Cron olusturuldu VE sistem crontab'a eklendi: ${name} (${resolvedSchedule})`
+      : `Cron olusturuldu (uygulama-ici): ${name} (${resolvedSchedule}). Calismasi icin: natureco daemon start.${crontabError ? ` [sistem crontab: ${crontabError}]` : ""}`,
     crontabUpdated,
     crontabError,
+    systemCrontab: allowSystemCrontab,
     schedule: resolvedSchedule,
   };
 }

package/src/tools/document_extract.js

@@ -1,7 +1,7 @@
 const fs = require('fs');
 const { expandPath } = require('../utils/paths');
 const path = require('path');
-const { execSync } = require('child_process');
+const { execFileSync } = require('child_process');
 
 module.exports = {
   name: 'document_extract',
@@ -36,7 +36,9 @@ module.exports = {
         text = fs.readFileSync(filePath, 'utf-8');
       } else if (ext === '.pdf') {
         try {
-          text = execSync(`pdftotext "${filePath}" -`, { encoding: 'utf-8', timeout: 30000, stdio: ['pipe', 'pipe', 'ignore'] });
+          // v5.43 GÜVENLİK: execSync string-interp yerine execFileSync (shell yok) —
+          // filePath tırnak/backtick/`;` içerse bile komut enjeksiyonu imkansız.
+          text = execFileSync('pdftotext', [filePath, '-'], { encoding: 'utf-8', timeout: 30000, stdio: ['pipe', 'pipe', 'ignore'] });
         } catch {
           // Fallback: read raw PDF extract
           const raw = fs.readFileSync(filePath, 'utf-8');

package/src/tools/phone_control_enhanced.js

@@ -1,17 +1,27 @@
 const { getConfig, saveConfig } = require('../utils/config');
-const { execSync } = require('child_process');
+const { execFileSync } = require('child_process');
 
 function checkAdb() {
   try {
-    execSync('adb version', { stdio: 'pipe', encoding: 'utf8' });
+    execFileSync('adb', ['version'], { stdio: 'pipe', encoding: 'utf8' });
     return true;
   } catch {
     return false;
   }
 }
 
+// v5.43 GÜVENLİK: `execSync('adb '+args)` shell enjeksiyonuna açıktı. execFileSync +
+// tırnak-farkındalıklı tokenize → shell yok, metakarakter işlem görmez.
+function _tok(s) {
+  const out = [];
+  const re = /"([^"]*)"|'([^']*)'|(\S+)/g;
+  let m;
+  while ((m = re.exec(String(s || ''))) !== null) out.push(m[1] ?? m[2] ?? m[3]);
+  return out;
+}
+
 function adbCommand(args) {
-  return execSync(`adb ${args}`, { stdio: 'pipe', encoding: 'utf8', maxBuffer: 1024 * 1024 }).trim();
+  return execFileSync('adb', _tok(args), { stdio: 'pipe', encoding: 'utf8', maxBuffer: 1024 * 1024 }).trim();
 }
 
 module.exports = {

package/src/tools/shell_command.js

@@ -7,6 +7,7 @@
 
 const { spawn } = require('child_process');
 const os = require('os');
+const { isSafeCommand, checkCommand, isDangerousCommand } = require('../utils/approvals');
 
 async function runShell({ command, cwd = null, timeoutMs = 10000 }) {
   if (!command) return { success: false, error: 'command gerekli' };
@@ -50,6 +51,24 @@ module.exports = {
     required: ['command'],
   },
   async execute(params) {
+    // v5.43 GÜVENLİK: shell_command da (bash.js gibi) onay/güvenlik akışından geçer.
+    // Eski hali doğrudan spawn('bash',...) yapıp checkCommand/isDangerousCommand'ı
+    // ATLIYORDU → model/prompt-injection bash yerine bunu çağırıp onaysız sınırsız
+    // shell erişimi kazanabiliyordu ("Dangerous Command Approval" tamamen bypass).
+    const command = params && params.command;
+    if (!command || !command.trim()) return { success: false, error: 'command gerekli' };
+    if (!isSafeCommand(command)) {
+      const approval = await checkCommand(command, { agentId: (params && params.agentId) || 'default' });
+      if (!approval.allowed) {
+        return { success: false, error: `Komut güvenlik politikasıyla reddedildi (${approval.reason}). "natureco security" ile politikayı görüntüle.` };
+      }
+      if (isDangerousCommand(command)) {
+        return { success: false, error: 'Tehlikeli komut engellendi. Gözden geçirip manuel çalıştırın.' };
+      }
+      if (approval.editedCommand && approval.editedCommand !== command) {
+        return await runShell({ ...params, command: approval.editedCommand });
+      }
+    }
     return await runShell(params);
   },
 };

package/src/tools/skills_autoload.js

@@ -86,12 +86,18 @@ module.exports = {
     required: ["message"],
   },
   async execute(params) {
+    // v5.43 GÜVENLİK: eskiden tespit edilen skill'lerin HAM içeriği doğrulama olmadan
+    // system prompt'a enjekte ediliyordu (skillContext) → prompt injection yüzeyi.
+    // Artık sadece İSİMLERİ tespit edip döndürür; ajan gerçekten gerekiyorsa
+    // skill_view(name) ile KONTROLLÜ yükler (skill-index/skill_view zaten var).
     const loaded = autoLoad(params.message);
     return {
       success: true,
       message: params.message,
       detectedSkills: loaded.map(s => s.name),
-      skillContext: loaded.map(s => s.content).join("\n\n"),
+      hint: loaded.length
+        ? `İlgili olabilecek skill(ler): ${loaded.map(s => s.name).join(', ')}. Gerekliyse skill_view(name) ile yükle.`
+        : 'İlgili skill bulunamadı.',
     };
   },
 };

package/src/tools/skills_download.js

@@ -36,6 +36,34 @@ const KNOWN_REPOS = [
   { owner: 'obra', repo: 'superpowers', topic: 'workflow' },
 ];
 
+// v5.43 GÜVENLİK: source doğrudan modelden gelip HERHANGİ bir repo indirilebiliyordu
+// (KNOWN_REPOS hiç kullanılmıyordu). İndirilen SKILL.md içeriği skills_autoload ile
+// system prompt'a enjekte edildiğinden → prompt injection → (shell_command bypass'ıyla)
+// RCE zinciri. Artık yalnızca KNOWN_REPOS + kullanıcı onaylı allowlist indirilebilir.
+const SKILLS_ALLOWLIST_FILE = path.join(os.homedir(), '.natureco', 'skills-allowlist.json');
+
+function _userAllowlistedRepos() {
+  try {
+    if (!fs.existsSync(SKILLS_ALLOWLIST_FILE)) return [];
+    const arr = JSON.parse(fs.readFileSync(SKILLS_ALLOWLIST_FILE, 'utf8'));
+    return Array.isArray(arr) ? arr : [];
+  } catch { return []; }
+}
+
+function isKnownRepo(owner, repo) {
+  const o = (owner || '').toLowerCase(), r = (repo || '').toLowerCase();
+  if (!o || !r) return false;
+  if (KNOWN_REPOS.some(k => k.owner.toLowerCase() === o && k.repo.toLowerCase() === r)) return true;
+  // Kullanıcının açıkça onayladığı ek repolar ("owner/repo" formatında)
+  return _userAllowlistedRepos().some(e => String(e).toLowerCase() === `${o}/${r}`);
+}
+
+// path-traversal savunması: hedef, base dizininin İÇİNDE mi?
+function _isInside(base, target) {
+  const rel = path.relative(base, target);
+  return rel === '' || (!rel.startsWith('..') && !path.isAbsolute(rel));
+}
+
 function httpsGet(url) {
   return new Promise((resolve, reject) => {
     https.get(url, { timeout: 15000 }, (res) => {
@@ -115,7 +143,16 @@ async function fetchGithubRepo(owner, repo) {
 }
 
 async function downloadSkill(skill, targetDir) {
-  const skillDir = path.join(targetDir, skill.name);
+  // v5.43 GÜVENLİK: skill.name repo'dan gelir; "../../.bashrc" gibi traversal olabilir.
+  // Sadece dosya adı bileşenini kullan.
+  const safeName = path.basename(String(skill.name || '').trim());
+  if (!safeName || safeName === '.' || safeName === '..' || safeName.includes('/') || safeName.includes('\\')) {
+    return { success: false, error: 'Geçersiz skill adı' };
+  }
+  const skillDir = path.join(targetDir, safeName);
+  if (!_isInside(targetDir, skillDir)) {
+    return { success: false, error: 'Güvenlik: skill dizini hedef dışına çıkıyor' };
+  }
   if (fs.existsSync(skillDir)) {
     return { success: false, error: 'Already exists', path: skillDir };
   }
@@ -139,14 +176,16 @@ async function downloadSkill(skill, targetDir) {
   // Download additional files
   for (const af of (skill.additionalFiles || [])) {
     try {
+      // v5.43 GÜVENLİK: af.path traversal ("../../../../etc/x") → skillDir DIŞINA yazma.
+      const dest = path.resolve(skillDir, af.path);
+      if (!_isInside(skillDir, dest)) continue; // traversal → atla
       const data = await httpsGet(af.url);
-      const afDir = path.dirname(path.join(skillDir, af.path));
-      fs.mkdirSync(afDir, { recursive: true });
-      fs.writeFileSync(path.join(skillDir, af.path), data, 'utf8');
+      fs.mkdirSync(path.dirname(dest), { recursive: true });
+      fs.writeFileSync(dest, data, 'utf8');
     } catch {}
   }
 
-  return { success: true, path: skillDir, name: skill.name };
+  return { success: true, path: skillDir, name: safeName };
 }
 
 async function execute(params) {
@@ -161,6 +200,9 @@ async function execute(params) {
   if (action === 'list_skills') {
     const [owner, repo] = (source || '').split('/');
     if (!owner || !repo) return JSON.stringify({ success: false, error: 'source must be owner/repo (e.g. anthropics/skills)' });
+    if (!isKnownRepo(owner, repo)) {
+      return JSON.stringify({ success: false, error: `Güvenlik: "${owner}/${repo}" bilinen/onaylı kaynaklar arasında değil. "natureco security skills-allowlist add ${owner}/${repo}" ile ekleyin veya "list_sources" ile bilinen kaynakları görün.` });
+    }
     const skills = await fetchGithubRepo(owner, repo);
     return JSON.stringify({ success: true, source, count: skills.length, skills: skills.map(s => ({ name: s.name, description: s.description })) });
   }
@@ -168,6 +210,9 @@ async function execute(params) {
   if (action === 'download') {
     const [owner, repo] = (source || '').split('/');
     if (!owner || !repo) return JSON.stringify({ success: false, error: 'source must be owner/repo' });
+    if (!isKnownRepo(owner, repo)) {
+      return JSON.stringify({ success: false, error: `Güvenlik: "${owner}/${repo}" bilinen/onaylı kaynaklar arasında değil. Model kendi kendine keyfi repo indiremez; kullanıcı "natureco security skills-allowlist add ${owner}/${repo}" ile açıkça onaylamalı.` });
+    }
     const skills = await fetchGithubRepo(owner, repo);
     const targetSkill = name ? skills.find(s => s.name === name) : null;
     const toDownload = targetSkill ? [targetSkill] : skills;
@@ -214,4 +259,4 @@ const parameters = {
   required: ['action'],
 };
 
-module.exports = { name, description, parameters, execute };
+module.exports = { name, description, parameters, execute, isKnownRepo, downloadSkill, _isInside, KNOWN_REPOS };

package/src/tools/social_open.js

@@ -1,4 +1,4 @@
-const { spawn, execSync } = require("child_process");
+const { spawn, execFileSync } = require("child_process");
 const os = require("os");
 
 const IS_MAC = os.platform() === "darwin";
@@ -63,7 +63,7 @@ function getOpenBrowser() {
   ];
   for (const browser of browsers) {
     try {
-      const result = execSync(`pgrep -x "${browser.name}"`, { encoding: "utf8" });
+      const result = execFileSync("pgrep", ["-x", browser.name], { encoding: "utf8" }); // v5.43: shell yok
       if (result.trim()) return browser.cmd;
     } catch (e) {}
   }

package/src/tools/youtube_ac.js

@@ -2,7 +2,7 @@
  * youtube_ac - YouTube videosunu mevcut tarayıcıda yeni sekmede açar
  */
 
-const { spawn, execSync } = require("child_process");
+const { spawn, execFileSync } = require("child_process");
 const os = require("os");
 
 const IS_MAC = os.platform() === "darwin";
@@ -16,7 +16,7 @@ function getOpenBrowser() {
 
   for (const browser of browsers) {
     try {
-      const result = execSync(`pgrep -x "${browser.name}"`, { encoding: "utf8" });
+      const result = execFileSync("pgrep", ["-x", browser.name], { encoding: "utf8" }); // v5.43: shell yok
       if (result.trim()) {
         return browser.cmd;
       }

package/src/utils/approvals.js

@@ -118,16 +118,27 @@ function requiresApproval({ command, agentId, security, ask }) {
   return { required: true, reason: 'unknown' };
 }
 
-// Built-in safe commands that never need approval
+// Built-in safe commands that never need approval.
+// v5.43 GÜVENLİK: 'node -e' KALDIRILDI — inline eval (`node -e "require('fs').rmSync..."`)
+// keyfi kod çalıştırır, asla "safe" olamaz. Sadece salt-okunur/versiyon komutları kalır.
 const SAFE_COMMANDS = new Set([
   'ls', 'cat', 'head', 'tail', 'echo', 'pwd', 'date', 'whoami',
-  'node -e', 'node -v', 'npm -v', 'git status', 'git diff', 'git log',
+  'node -v', 'npm -v', 'git status', 'git diff', 'git log',
 ]);
 
+// Shell metakarakterleri: komut zincirleme / substitution / yönlendirme.
+// Bunlardan biri varsa komut ASLA "safe" sayılmaz (ör. "echo hi; rm -rf ~").
+const SHELL_METACHARS = /[;&|`$(){}<>\n\r]|\|\||&&/;
+
 function isSafeCommand(command) {
-  if (SAFE_COMMANDS.has(command.trim())) return true;
+  const trimmed = (command || '').trim();
+  if (!trimmed) return false;
+  // v5.43 GÜVENLİK: metakarakter içeren hiçbir komut safe değil — prefix bypass'ı kapatır.
+  if (SHELL_METACHARS.test(trimmed)) return false;
+  if (SAFE_COMMANDS.has(trimmed)) return true;
+  // Prefix eşleşmesi ama SADECE kelime sınırında: "echo" → "echo hi" evet, "echoevil" hayır.
   for (const safe of SAFE_COMMANDS) {
-    if (command.trim().startsWith(safe)) return true;
+    if (trimmed === safe || trimmed.startsWith(safe + ' ')) return true;
   }
   return false;
 }

package/src/utils/config.js

@@ -34,9 +34,13 @@ function getProfileDir() {
 const ACTIVE_CONFIG_DIR = getProfileDir();
 const ACTIVE_CONFIG_FILE = path.join(ACTIVE_CONFIG_DIR, 'config.json');
 
+// v5.43 GÜVENLİK: config.json API anahtarları tutar; dizin/dosya dünya-okunabilir
+// (0755/0644) olmamalı — ssh anahtarları gibi 0700/0600. chmod fallback eski kurulumlar için.
 function ensureConfigDir() {
   if (!fs.existsSync(ACTIVE_CONFIG_DIR)) {
-    fs.mkdirSync(ACTIVE_CONFIG_DIR, { recursive: true });
+    fs.mkdirSync(ACTIVE_CONFIG_DIR, { recursive: true, mode: 0o700 });
+  } else {
+    try { fs.chmodSync(ACTIVE_CONFIG_DIR, 0o700); } catch { /* best-effort */ }
   }
 }
 
@@ -48,11 +52,15 @@ function createBackup() {
   if (!fs.existsSync(ACTIVE_CONFIG_FILE)) return;
   ensureConfigDir();
   if (!fs.existsSync(CONFIG_BACKUP_DIR)) {
-    fs.mkdirSync(CONFIG_BACKUP_DIR, { recursive: true });
+    fs.mkdirSync(CONFIG_BACKUP_DIR, { recursive: true, mode: 0o700 });
+  } else {
+    try { fs.chmodSync(CONFIG_BACKUP_DIR, 0o700); } catch { /* best-effort */ }
   }
   const timestamp = new Date().toISOString().replace(/[:.]/g, '-');
   const backupFile = path.join(CONFIG_BACKUP_DIR, `config-${timestamp}.json`);
   fs.copyFileSync(ACTIVE_CONFIG_FILE, backupFile);
+  // Yedek de API anahtarları içerir → 0600.
+  try { fs.chmodSync(backupFile, 0o600); } catch { /* best-effort */ }
   const backups = fs.readdirSync(CONFIG_BACKUP_DIR)
     .filter(f => f.startsWith('config-') && f.endsWith('.json'))
     .sort()
@@ -91,7 +99,9 @@ function saveConfig(data, options = {}) {
   if (!skipValidation) validateConfig(data);
   if (!skipBackup) createBackup();
   const content = JSON.stringify(data, null, 2);
-  fs.writeFileSync(ACTIVE_CONFIG_FILE, content, 'utf8');
+  fs.writeFileSync(ACTIVE_CONFIG_FILE, content, { encoding: 'utf8', mode: 0o600 });
+  // mode yalnızca dosya YENİ oluşturulunca uygulanır; mevcut dosya için chmod şart.
+  try { fs.chmodSync(ACTIVE_CONFIG_FILE, 0o600); } catch { /* best-effort */ }
   _configCache = data;
   _configHash = computeHash(data);
 }

package/src/utils/tool-runner.js

@@ -99,9 +99,11 @@ async function executeTool(toolName, params, opts = {}) {
 
   // ── Onay mekanizması (write_file ve tehlikeli bash) ───────────────────────
   if (agentMode) {
+    // v5.43 GÜVENLİK: shell_command da bash gibi onay tetikler (aksi halde onay/güvenlik
+    // akışını atlayan ikinci bir arbitrary-shell yolu olurdu).
     const needsConfirm =
       toolName === 'write_file' ||
-      (toolName === 'bash' && /\b(rm|mv|cp|chmod|chown|dd|mkfs|truncate)\b/.test(safeParams.command || ''));
+      ((toolName === 'bash' || toolName === 'shell_command') && /\b(rm|mv|cp|chmod|chown|dd|mkfs|truncate)\b/.test(safeParams.command || ''));
 
     if (needsConfirm) {
       if (toolName === 'write_file') {