phasegate 0.114.0 → 0.116.0

package/CHANGELOG.md

@@ -7,6 +7,23 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [0.116.0] - 2026-05-07
+
+### Security
+
+- **WI-036: skill-quality の git-commit-executor adapter におけるコマンドインジェクション (HIGH) を修正** — WI-035 Phase 3 横展開監査で発見した follow-up。`execSync(\`git commit -m ${JSON.stringify(message)}\`)` を `execFileSync('git', ['commit', '-m', message], ...)` 配列引数形式に置換。`JSON.stringify` がバッククオート / `$` をエスケープせず `/bin/sh -c` 経由で評価される経路を遮断。
+  - `scripts/harness/skill-quality/infrastructure/adapters/git-commit-executor-adapter.ts` を `execFileSync` 化、コンストラクタに `gitExecutor` を DI 可能化（テスタビリティ向上、`CommitExecutorPort.commit()` の外部 signature は不変）。
+  - 悪意ある `description`（バッククオート / `$()` / `;` / `"` / 改行 / `|` 含む）が引数配列にそのまま渡されシェル評価されないことを assert する unit test (`__tests__/unit/skill-quality/git-commit-executor-adapter.test.ts`) を新規追加。
+  - 横展開監査 (再走査): 非テストコード `scripts/harness/**/*.ts` の `execSync(\`...${var}...\`)` パターンが **完全消滅**（WI-035 / WI-036 で網羅完了）。
+- WI-035 / WI-036 の `status` を `drafted` → `implemented` に更新。
+
+## [0.115.0] - 2026-05-07
+
+### Documentation
+
+- **WI-036 起票** — WI-035 Phase 3 横展開監査の follow-up として、`scripts/harness/skill-quality/infrastructure/adapters/git-commit-executor-adapter.ts:14` の `execSync(\`git commit -m ${JSON.stringify(message)}\`)` を同種コマンドインジェクション (HIGH) の sink として切り出し、別 WI に分離。`JSON.stringify` がバッククオート / `$` をエスケープしないため、`description` が外部入力に由来すると `/bin/sh -c` 経由で評価され得る点を文書化。修正実装は次回（`execFileSync` 配列引数化 + DI seed 化 + 悪意 description fixture テスト）。
+- WI-035 description.md の Phase 3 監査結果欄を「WI-036 として起票済み」に更新。
+
 ## [0.114.0] - 2026-05-07
 
 ### Security

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "phasegate",
-  "version": "0.114.0",
+  "version": "0.116.0",
   "packageManager": "pnpm@10.30.1",
   "description": "Phasegate — AI-agnostic quality defense toolkit. Enforces structural integrity between design intent and code.",
   "license": "MIT",

package/scripts/harness/skill-quality/infrastructure/adapters/git-commit-executor-adapter.ts

@@ -2,16 +2,21 @@
  * @layer infrastructure
  * @unit skill-quality
  */
-import { execSync } from 'node:child_process';
+import { execFileSync } from 'node:child_process';
 import type { CommitExecutorPort } from '../../domain/ports/commit-executor-port.js';
 import type { CommitMessage } from '../../domain/value-objects/commit-message.js';
 import { SkillQualityError } from '../../domain/errors/skill-quality-error.js';
 
+// WI-036: 配列引数で execFileSync を直接呼ぶことでシェル経由のメタ文字評価を遮断する。
+type GitExecutor = (file: string, args: readonly string[], options: { stdio: 'pipe' }) => Buffer;
+
 export class GitCommitExecutorAdapter implements CommitExecutorPort {
+  constructor(private readonly gitExecutor: GitExecutor = execFileSync) {}
+
   async commit(commitMessage: CommitMessage): Promise<void> {
     const message = commitMessage.format();
     try {
-      execSync(`git commit -m ${JSON.stringify(message)}`, { stdio: 'pipe' });
+      this.gitExecutor('git', ['commit', '-m', message], { stdio: 'pipe' });
     } catch (err) {
       const rawMessage = err instanceof Error ? err.message : String(err);
       // "nothing to commit" を検出して分かりやすいメッセージに変換