natureco-cli 5.42.0 → 5.43.1

package/src/tools/social_open.js

@@ -1,4 +1,4 @@
-const { spawn, execSync } = require("child_process");
+const { spawn, execFileSync } = require("child_process");
 const os = require("os");
 
 const IS_MAC = os.platform() === "darwin";
@@ -63,7 +63,7 @@ function getOpenBrowser() {
   ];
   for (const browser of browsers) {
     try {
-      const result = execSync(`pgrep -x "${browser.name}"`, { encoding: "utf8" });
+      const result = execFileSync("pgrep", ["-x", browser.name], { encoding: "utf8" }); // v5.43: shell yok
       if (result.trim()) return browser.cmd;
     } catch (e) {}
   }

package/src/tools/youtube_ac.js

@@ -2,7 +2,7 @@
  * youtube_ac - YouTube videosunu mevcut tarayıcıda yeni sekmede açar
  */
 
-const { spawn, execSync } = require("child_process");
+const { spawn, execFileSync } = require("child_process");
 const os = require("os");
 
 const IS_MAC = os.platform() === "darwin";
@@ -16,7 +16,7 @@ function getOpenBrowser() {
 
   for (const browser of browsers) {
     try {
-      const result = execSync(`pgrep -x "${browser.name}"`, { encoding: "utf8" });
+      const result = execFileSync("pgrep", ["-x", browser.name], { encoding: "utf8" }); // v5.43: shell yok
       if (result.trim()) {
         return browser.cmd;
       }

package/src/utils/approvals.js

@@ -118,16 +118,27 @@ function requiresApproval({ command, agentId, security, ask }) {
   return { required: true, reason: 'unknown' };
 }
 
-// Built-in safe commands that never need approval
+// Built-in safe commands that never need approval.
+// v5.43 GÜVENLİK: 'node -e' KALDIRILDI — inline eval (`node -e "require('fs').rmSync..."`)
+// keyfi kod çalıştırır, asla "safe" olamaz. Sadece salt-okunur/versiyon komutları kalır.
 const SAFE_COMMANDS = new Set([
   'ls', 'cat', 'head', 'tail', 'echo', 'pwd', 'date', 'whoami',
-  'node -e', 'node -v', 'npm -v', 'git status', 'git diff', 'git log',
+  'node -v', 'npm -v', 'git status', 'git diff', 'git log',
 ]);
 
+// Shell metakarakterleri: komut zincirleme / substitution / yönlendirme.
+// Bunlardan biri varsa komut ASLA "safe" sayılmaz (ör. "echo hi; rm -rf ~").
+const SHELL_METACHARS = /[;&|`$(){}<>\n\r]|\|\||&&/;
+
 function isSafeCommand(command) {
-  if (SAFE_COMMANDS.has(command.trim())) return true;
+  const trimmed = (command || '').trim();
+  if (!trimmed) return false;
+  // v5.43 GÜVENLİK: metakarakter içeren hiçbir komut safe değil — prefix bypass'ı kapatır.
+  if (SHELL_METACHARS.test(trimmed)) return false;
+  if (SAFE_COMMANDS.has(trimmed)) return true;
+  // Prefix eşleşmesi ama SADECE kelime sınırında: "echo" → "echo hi" evet, "echoevil" hayır.
   for (const safe of SAFE_COMMANDS) {
-    if (command.trim().startsWith(safe)) return true;
+    if (trimmed === safe || trimmed.startsWith(safe + ' ')) return true;
   }
   return false;
 }

package/src/utils/config.js

@@ -34,9 +34,13 @@ function getProfileDir() {
 const ACTIVE_CONFIG_DIR = getProfileDir();
 const ACTIVE_CONFIG_FILE = path.join(ACTIVE_CONFIG_DIR, 'config.json');
 
+// v5.43 GÜVENLİK: config.json API anahtarları tutar; dizin/dosya dünya-okunabilir
+// (0755/0644) olmamalı — ssh anahtarları gibi 0700/0600. chmod fallback eski kurulumlar için.
 function ensureConfigDir() {
   if (!fs.existsSync(ACTIVE_CONFIG_DIR)) {
-    fs.mkdirSync(ACTIVE_CONFIG_DIR, { recursive: true });
+    fs.mkdirSync(ACTIVE_CONFIG_DIR, { recursive: true, mode: 0o700 });
+  } else {
+    try { fs.chmodSync(ACTIVE_CONFIG_DIR, 0o700); } catch { /* best-effort */ }
   }
 }
 
@@ -48,11 +52,15 @@ function createBackup() {
   if (!fs.existsSync(ACTIVE_CONFIG_FILE)) return;
   ensureConfigDir();
   if (!fs.existsSync(CONFIG_BACKUP_DIR)) {
-    fs.mkdirSync(CONFIG_BACKUP_DIR, { recursive: true });
+    fs.mkdirSync(CONFIG_BACKUP_DIR, { recursive: true, mode: 0o700 });
+  } else {
+    try { fs.chmodSync(CONFIG_BACKUP_DIR, 0o700); } catch { /* best-effort */ }
   }
   const timestamp = new Date().toISOString().replace(/[:.]/g, '-');
   const backupFile = path.join(CONFIG_BACKUP_DIR, `config-${timestamp}.json`);
   fs.copyFileSync(ACTIVE_CONFIG_FILE, backupFile);
+  // Yedek de API anahtarları içerir → 0600.
+  try { fs.chmodSync(backupFile, 0o600); } catch { /* best-effort */ }
   const backups = fs.readdirSync(CONFIG_BACKUP_DIR)
     .filter(f => f.startsWith('config-') && f.endsWith('.json'))
     .sort()
@@ -91,7 +99,9 @@ function saveConfig(data, options = {}) {
   if (!skipValidation) validateConfig(data);
   if (!skipBackup) createBackup();
   const content = JSON.stringify(data, null, 2);
-  fs.writeFileSync(ACTIVE_CONFIG_FILE, content, 'utf8');
+  fs.writeFileSync(ACTIVE_CONFIG_FILE, content, { encoding: 'utf8', mode: 0o600 });
+  // mode yalnızca dosya YENİ oluşturulunca uygulanır; mevcut dosya için chmod şart.
+  try { fs.chmodSync(ACTIVE_CONFIG_FILE, 0o600); } catch { /* best-effort */ }
   _configCache = data;
   _configHash = computeHash(data);
 }
@@ -203,7 +213,10 @@ function restoreConfig(backupFile) {
   const data = parseConfigContent(content);
   validateConfig(data);
   createBackup();
-  fs.writeFileSync(ACTIVE_CONFIG_FILE, JSON.stringify(data, null, 2), 'utf8');
+  // v5.43.1 GÜVENLİK: saveConfig gibi 0600 — restore, API key'li config.json'ı
+  // dünya-okunabilir hale getirmemeli. mode yalnızca yeni dosyaya uygulanır; chmod şart.
+  fs.writeFileSync(ACTIVE_CONFIG_FILE, JSON.stringify(data, null, 2), { encoding: 'utf8', mode: 0o600 });
+  try { fs.chmodSync(ACTIVE_CONFIG_FILE, 0o600); } catch { /* best-effort */ }
   _configCache = data;
   _configHash = computeHash(data);
   return { path: backupPath, timestamp: path.basename(backupPath).replace(/^config-|\.json$/g, '') };

package/src/utils/tool-runner.js

@@ -99,9 +99,11 @@ async function executeTool(toolName, params, opts = {}) {
 
   // ── Onay mekanizması (write_file ve tehlikeli bash) ───────────────────────
   if (agentMode) {
+    // v5.43 GÜVENLİK: shell_command da bash gibi onay tetikler (aksi halde onay/güvenlik
+    // akışını atlayan ikinci bir arbitrary-shell yolu olurdu).
     const needsConfirm =
       toolName === 'write_file' ||
-      (toolName === 'bash' && /\b(rm|mv|cp|chmod|chown|dd|mkfs|truncate)\b/.test(safeParams.command || ''));
+      ((toolName === 'bash' || toolName === 'shell_command') && /\b(rm|mv|cp|chmod|chown|dd|mkfs|truncate)\b/.test(safeParams.command || ''));
 
     if (needsConfirm) {
       if (toolName === 'write_file') {