superpowers-mcp 6.4.2 → 6.4.4

package/README.ja.md

@@ -1,8 +1,8 @@
 # Superpowers MCP Toolpack 使用ガイド
 
-[English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
+[English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md) | [Español](README.es.md) | [Português (BR)](README.pt-BR.md) | [हिन्दी](README.hi.md)
 
-[![バージョン](https://img.shields.io/badge/version-6.4.2-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![バージョン](https://img.shields.io/badge/version-6.4.4-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
 [![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
 
 このドキュメントは、Superpowers スキルライブラリと自律型ワークフローを、独立した高パフォーマンスかつ安全な **Model Context Protocol (MCP)** サーバーにパッケージ化した使用説明書です。
@@ -13,15 +13,15 @@
 
 ### サポート環境とエージェントプラットフォーム
 
-- **AI コードエディター & IDE**: **Antigravity (AGY)**、**Cursor**、**VSCode** (GitHub Copilot)、**VSCode Insiders** (GitHub Copilot)、**Devin Desktop**、**Trae**、**Cline**、**Kilo Code**、**Qoder**、**Kiro**、**MiniMax Code Desktop**、**Codex**。
-- **AI デスクトップアプリ & ハーネス**: **Claude Desktop**、**Pi Desktop**、**QwenPaw**、**Hermes Desktop**、**Kimi Work**。
+- **AI コードエディター & IDE**: **Antigravity (AGY)**、**Cursor**、**VSCode** (GitHub Copilot)、**VSCode Insiders** (GitHub Copilot)、**Devin Desktop**、**Trae**、**Cline**、**Kilo Code**、**Qoder**、**Kiro**、**MiniMax Code Desktop**（手動設定）、**Codex**。
+- **AI デスクトップアプリ & ハーネス**: **Claude Desktop**、**Pi Desktop**、**QwenPaw**、**Hermes Desktop**、**Kimi Work**、**Goose**、**OpenClaw**。
 - **セルフホスト & ローカル AI プラットフォーム**: **AnythingLLM**、**LibreChat**。
 
 ### 提供される MCP 機能
 
 | プロトコル機能 | 項目 / 数量 | 説明 |
 | :--- | :--- | :--- |
-| **Tools** | `list_skills`, `read_skill` | 14 種類の Superpowers スキルをオンデマンドで検索・読み込み。 |
+| **Tools** | `list_skills`, `read_skill` | 全スキルの指示書とチェックリストをオンデマンドで探索・検索・読み込み。 |
 | **Prompts** | 9 個のネイティブ Prompts | `session-start`, `feature-pipeline`, `structured-debug`, `skill-composition`, `sdd-implementer`, `sdd-task-reviewer`, `sdd-re-review`, `spec-reviewer`, `plan-reviewer` |
 | **Resources** | 15 個の Skill URI + 1 ガイド | `skill://superpowers/<skill-name>` と `guide://superpowers/skill-compositions` |
 
@@ -43,10 +43,7 @@
 > [!NOTE]
 > **任意のディレクトリから実行可能**: 本リポジトリを事前にクローンしたり、特定のフォルダに移動したりする必要はありません。ターミナルの**任意の場所**から以下のコマンドを直接実行できます。インストーラーがユーザーホームディレクトリ（`~`）を基準にグローバル設定ファイルを自動検出し、すべてのワークスペースで即座に有効化します。
 
-デスクトップ向け設定：[LM Studio、Roo Code、ChatWise、Cherry Studio](docs/desktop-setup.md)。新しい CLI オプションは npm 未公開です。公開まではガイドのローカルコマンドを使用してください。
-
-> [!TIP]
-> **透明性と環境保護の原則**: Superpowers は、選択されていない他のエディタを勝手にスキャンしたり一括変更したりすることは決してありません。使用する AI ツールに合わせて専用コマンドを実行するだけで、**アトミック書き込み技術**により設定を安全に統合します（クラッシュ時破損ゼロ、**デフォルトで `.bak` ファイル等のゴミを残さない完全クリーン仕様**、既存の他 MCP サーバーには影響なし）。
+ChatWise、Cherry Studio は手動インポートが必要です。[デスクトップ版インポートガイド](docs/desktop-setup.md) を参照してください。
 
 ### 1. お使いの AI Agent / エディタを選択（一発設定）
 
@@ -71,6 +68,9 @@
 | **Qoder** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target qoder` | `~/.qoder/settings.json` |
 | **Kiro** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target kiro` | `~/.kiro/settings/mcp.json` |
 | **Trae** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target trae` | `.../Trae/User/mcp.json` *(Trae CN 対応)* |
+| **Codex** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target codex` | `~/.codex/config.toml` *(TOML `[mcp_servers]`)* |
+| **OpenClaw** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target openclaw` | `~/.openclaw/openclaw.json` *(JSON5 `mcp.servers`)* |
+| **Goose** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target goose` | `~/.config/goose/config.yaml` *(Win: `%APPDATA%\Block\goose\config\config.yaml`)* |
 
 *(Bun を使用する場合は `--bun` を追加可能、例: `npx -y superpowers-mcp setup --target cursor --bun`)*
 
@@ -135,18 +135,18 @@
 ```
 brainstorming ➔ writing-plans ➔ using-git-worktrees ➔ subagent-driven-development (TDD) ➔ verification-before-completion ➔ requesting-code-review ➔ finishing-a-development-branch
 ```
-- **起動方法：**MCP Prompts メニューから `feature-pipeline` を選択し、必須の `feature_name` と任意の `requirements` を入力します。
+- **起動方法**：MCP Prompts メニューから `feature-pipeline` を選択し、必須の `feature_name` と任意の `requirements` を入力します。
 - **特徴：** 要件明確化 (Spec) ➔ 計画分解 (Plan) ➔ Worktree 分離 ➔ 独立サブエージェント＋TDD 実装 ➔ フルテスト検証 ➔ 敵対的コードレビュー ➔ ブランチ完了。
 
 ### 2. 構造化トラブルシューティングパイプライン (Structured Troubleshooting Pipeline)
 ```
 systematic-debugging ➔ using-git-worktrees ➔ dispatching-parallel-agents ➔ test-driven-development ➔ verification-before-completion ➔ requesting-code-review ➔ finishing-a-development-branch
 ```
-- **起動方法：**MCP Prompts メニューから `structured-debug` を選択し、問題または失敗テストを入力します。
+- **起動方法**：MCP Prompts メニューから `structured-debug` を選択し、問題または失敗テストを入力します。
 - **特徴：** 根本原因の仮説分解 ➔ Worktree 隔離並行調査 ➔ 複数エージェント検証 ➔ 失敗テスト作成・修正 ➔ 完全な回帰検証 ➔ レビュー指摘解決 ➔ ブランチ完了。
 
 ### 3. 動的ワークフローガイド (Dynamic Workflow Guide)
-- **起動方法：**`skill-composition` を選択してリファクタリング、移行、レガシーコード向けの推奨手順を取得します。これらには現在、専用ランチャー prompt はありません。
+- **起動方法**：`skill-composition` を選択してリファクタリング、移行、レガシーコード向けの推奨手順を取得します。これらには現在、専用ランチャー prompt はありません。
 - **特徴：** 大規模リファクタリング、レガシーシステムの安全網構築、オンボーディングに最適なパイプラインを動的に提案：
   - **大規模リファクタリング＆移行 (Pipeline 3)：** `brainstorming` ➔ `writing-plans (skeleton-first)` ➔ `using-git-worktrees` ➔ `subagent-driven-development` ➔ `verification-before-completion` ➔ `requesting-code-review` ➔ `finishing-a-development-branch`
   - **レガシーコード安全網 (Pipeline 4)：** `brainstorming` ➔ `writing-plans` ➔ `test-driven-development (characterization)` ➔ `systematic-debugging` ➔ `verification-before-completion`
@@ -180,7 +180,26 @@ systematic-debugging ➔ using-git-worktrees ➔ dispatching-parallel-agents ➔
 
 ## 🆕 最近の更新
 
-### v6.4.2（最新）
+### v6.4.4（最新）
+
+- **CodeQL 是正とセキュリティパッチ（2026-09-28）**：
+  - コードスキャンは **未対応 0 件／修正済み 7 件** に：v6.4.3 で報告された `src/setup-runner.ts` の 3 件のアラートを解消（詳細は [SECURITY.md](SECURITY.md)）。
+  - **TOML ReDoS 修正**：引用符付きテーブル検出の正規表現を線形スキャナに置換。攻撃的な設定行でも多項式バックトラックが発生しない。fail-closed の動作は不変。
+  - **プロトタイプ汚染ガード**：ネスト JSON の `serverPath`（`openclaw` ターゲットが使用）は書込前に `__proto__`／`constructor`／`prototype` と非識別子キーを拒否。
+  - 正規の設定の動作に変更なし。検証：`npm test` グリーン（基準 **389/389**）、`tsc` クリーン、`npm audit` 0 脆弱性。
+
+### v6.4.3
+
+- **Codex 対応とドキュメント整理（2026-09-28）**：
+  - 新規 `codex` 一発ターゲット：`setup --target codex` が `~/.codex/config.toml`（`[mcp_servers.superpowers]`）に書込。依存ゼロの TOML マージ、`--dry-run` / `--backup` / `--bun` / `--remove` 対応。
+  - 新規 `openclaw` / `goose` ターゲット：前者は `~/.openclaw/openclaw.json`（`mcp.servers`）に書込；後者は goose `config.yaml` の `extensions` ブロックに書込（ユーザーの `enabled`/`timeout`/`envs` は保持）。
+  - セットアップ章の冗長な透明性 TIP を削除（見出しと重複）；安全仕様は Advanced Flags と SECURITY.md に記載。
+  - `docs/desktop-setup.md` は ChatWise / Cherry Studio 専用の英語インポートガイドに（`setup --print-config`）；LM Studio / Roo Code は一覧の一発コマンドのまま。「未公開」表記を削除（`lmstudio`・`roo`・`--print-config` は v6.3.9 で公開済み）。
+  - 7 言語 README ナビ（ES / PT-BR / HI 新規）、ES / PT-BR / HI skill-composition ガイド、CJK 太字区切り修正をリリース。
+  - MiniMax Code Desktop は（手動設定）と表記（設定パス未検証）。
+  - 検証：`npm test` グリーン、基準は 389/389（+17 setup-target ケース）、`npm audit` 0 脆弱性。
+
+### v6.4.2
 
 - **v6.4.2 セキュリティ監査とコードレビュー（2026-09-24）**:MCP サーバー、セットアップスクリプト、ビルドパイプライン、テストハーネスの監査指摘を是正しました（詳細は [SECURITY.md](SECURITY.md)）。
   - **トラバーサルとエラー処理の修正**: スキル名を許可リスト検証の**前**にデコードし、二重エンコードされた `..%2f` / `%2e%2e` ペイロードは `InvalidParams` で拒否。未知のツール／プロンプトは `MethodNotFound` ではなく具体的な `InvalidParams` を返します。

package/README.ko.md

@@ -1,8 +1,8 @@
 # Superpowers MCP Toolpack 사용 가이드
 
-[English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
+[English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md) | [Español](README.es.md) | [Português (BR)](README.pt-BR.md) | [हिन्दी](README.hi.md)
 
-[![Version](https://img.shields.io/badge/version-6.4.2-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![Version](https://img.shields.io/badge/version-6.4.4-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
 [![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
 
 이 문서는 Superpowers 스킬 라이브러리와 자율 에이전트 워크플로우를 독립적이고 고성능이며 안전한 **Model Context Protocol (MCP)** 서버로 패키징한 사용 지침을 요약한 것입니다.
@@ -13,15 +13,15 @@
 
 ### 지원 환경 및 에이전트 플랫폼
 
-- **AI 코드 편집기 & IDE**: **Antigravity (AGY)**, **Cursor**, **VSCode** (GitHub Copilot), **VSCode Insiders** (GitHub Copilot), **Devin Desktop**, **Trae**, **Cline**, **Kilo Code**, **Qoder**, **Kiro**, **MiniMax Code Desktop**, **Codex**.
-- **AI 데스크톱 앱 & 에이전트 도구**: **Claude Desktop**, **Pi Desktop**, **QwenPaw**, **Hermes Desktop**, **Kimi Work**.
+- **AI 코드 편집기 & IDE**: **Antigravity (AGY)**, **Cursor**, **VSCode** (GitHub Copilot), **VSCode Insiders** (GitHub Copilot), **Devin Desktop**, **Trae**, **Cline**, **Kilo Code**, **Qoder**, **Kiro**, **MiniMax Code Desktop** (수동 설정), **Codex**.
+- **AI 데스크톱 앱 & 에이전트 도구**: **Claude Desktop**, **Pi Desktop**, **QwenPaw**, **Hermes Desktop**, **Kimi Work**, **Goose**, **OpenClaw**.
 - **자체 호스팅 & 로컬 AI 플랫폼**: **AnythingLLM**, **LibreChat**.
 
 ### 제공되는 MCP 프로토콜 기능
 
 | 프로토콜 기능 | 포함 항목 / 수량 | 설명 |
 | :--- | :--- | :--- |
-| **Tools** | `list_skills`, `read_skill` | 14개의 Superpowers 스킬을 온디맨드로 검색, 로드 및 확인합니다. |
+| **Tools** | `list_skills`, `read_skill` | 전체 스킬 지침과 체크리스트를 온디맨드로 탐색, 검색 및 로드합니다. |
 | **Prompts** | 9개의 네이티브 Prompts | `session-start`, `feature-pipeline`, `structured-debug`, `skill-composition`, `sdd-implementer`, `sdd-task-reviewer`, `sdd-re-review`, `spec-reviewer`, `plan-reviewer` |
 | **Resources** | 15개 Skill URI + 1개 가이드 | `skill://superpowers/<skill-name>` 및 `guide://superpowers/skill-compositions` |
 
@@ -43,10 +43,7 @@
 > [!NOTE]
 > **모든 디렉터리에서 바로 실행 가능**: 이 저장소를 복제(clone)하거나 특정 폴더로 이동할 필요가 없습니다. 터미널의 **어느 위치에서나** 바로 아래 명령어를 실행할 수 있습니다. 설치 도구가 사용자 홈 디렉터리(`~`)를 기준으로 전역 설정 파일을 자동 탐지하여 모든 작업 공간에서 즉시 활성화합니다.
 
-데스크톱 빠른 설정: [LM Studio, Roo Code, ChatWise, Cherry Studio](docs/desktop-setup.md). 새 CLI 옵션은 아직 npm에 배포되지 않았습니다. 배포 전에는 가이드의 로컬 명령을 사용하세요.
-
-> [!TIP]
-> **투명성 및 환경 보호 원칙**: Superpowers MCP는 악성코드처럼 선택되지 않은 다른 에디터를 임의로 스캔하거나 일괄 수정하지 않습니다. 사용 중인 AI 클라이언트 전용 명령어를 실행하기만 하면, **원자적 쓰기(Atomic Swap) 기술**을 통해 설정을 안전하게 병합합니다 (충돌 시 손상 제로, **기본적으로 불필요한 `.bak` 쓰레기 파일을 남기지 않는 클린 사양**, 기존 다른 MCP 서버 무영향).
+ChatWise, Cherry Studio는 수동 가져오기가 필요합니다. [데스크톱 가져오기 가이드](docs/desktop-setup.md)를 참조하세요.
 
 ### 1. 사용 중인 AI Agent / 에디터 선택 (원클릭 정밀 설정)
 
@@ -71,6 +68,9 @@
 | **Qoder** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target qoder` | `~/.qoder/settings.json` |
 | **Kiro** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target kiro` | `~/.kiro/settings/mcp.json` |
 | **Trae** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target trae` | `.../Trae/User/mcp.json` *(Trae CN 지원)* |
+| **Codex** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target codex` | `~/.codex/config.toml` *(TOML `[mcp_servers]`)* |
+| **OpenClaw** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target openclaw` | `~/.openclaw/openclaw.json` *(JSON5 `mcp.servers`)* |
+| **Goose** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target goose` | `~/.config/goose/config.yaml` *(Win: `%APPDATA%\Block\goose\config\config.yaml`)* |
 
 *(Bun을 선호하는 경우 `--bun`을 추가할 수 있습니다, 예: `npx -y superpowers-mcp setup --target cursor --bun`)*
 
@@ -178,7 +178,26 @@ systematic-debugging ➔ using-git-worktrees ➔ dispatching-parallel-agents ➔
 
 ## 🆕 최근 업데이트
 
-### v6.4.2 (최신)
+### v6.4.4 (최신)
+
+- **CodeQL 수정 및 보안 패치 (2026-09-28)**:
+  - 코드 스캔 **미해결 0건 / 수정 7건**: v6.4.3에서 보고된 `src/setup-runner.ts` 3건 알림 해소(자세한 내용은 [SECURITY.md](SECURITY.md)).
+  - **TOML ReDoS 수정**: 인용 테이블 감지 정규식을 선형 스캐너로 교체. 악성 설정 줄에서도 다항식 백트래킹이 발생하지 않음. fail-closed 동작은 그대로 유지.
+  - **프로토타입 오염 가드**: 중첩 JSON `serverPath`(`openclaw` 타겟 사용)는 쓰기 전에 `__proto__` / `constructor` / `prototype` 및 비식별자 키를 거부.
+  - 정상 설정의 동작 변경 없음. 검증: `npm test` 그린(기준 **389/389**), `tsc` 클린, `npm audit` 0 취약점.
+
+### v6.4.3
+
+- **Codex 지원 및 문서 정리 (2026-09-28)**:
+  - 신규 `codex` 원클릭 타겟: `setup --target codex`가 `~/.codex/config.toml`(`[mcp_servers.superpowers]`)에 기록. 무의존 TOML 병합, `--dry-run` / `--backup` / `--bun` / `--remove` 지원.
+  - 신규 `openclaw` / `goose` 타겟: 전자는 `~/.openclaw/openclaw.json`(`mcp.servers`)에 기록; 후자는 goose `config.yaml`의 `extensions` 블록에 기록(사용자의 `enabled`/`timeout`/`envs` 유지).
+  - 설정 장의 중복된 투명성 TIP 삭제(헤딩과 중복); 안전 사양은 Advanced Flags 및 SECURITY.md에 유지.
+  - `docs/desktop-setup.md`는 ChatWise / Cherry Studio 전용 영어 가져오기 가이드로 전환(`setup --print-config`); LM Studio / Roo Code는 원클릭 표 유지. 오래된 "미출시" 문구 삭제(`lmstudio`, `roo`, `--print-config`는 v6.3.9에 출시됨).
+  - 7개 언어 README 내비(ES / PT-BR / HI 신규), ES / PT-BR / HI skill-composition 가이드, CJK 굵은 글씨 구분자 수정 릴리스.
+  - MiniMax Code Desktop은 (수동 설정)으로 표기(설정 경로 미검증).
+  - 검증: `npm test` 그린, 기준 389/389(+17 setup-target 케이스), `npm audit` 0 취약점.
+
+### v6.4.2
 
 - **v6.4.2 보안 감사 및 코드 리뷰 (2026-09-24)**: MCP 서버, 설정 스크립트, 빌드 파이프라인, 테스트 하네스의 감사 지적 사항을 수정했습니다(자세한 내용은 [SECURITY.md](SECURITY.md)).
   - **경로 탐색 및 오류 위생**: 스킬 이름을 허용 목록 검증 *전*에 디코드하여 이중 인코딩된 `..%2f` / `%2e%2e` 페이로드를 `InvalidParams`로 거부합니다. 미지의 도구와 프롬프트도 `MethodNotFound` 대신 실행 가능한 `InvalidParams` 오류를 반환합니다.

package/README.md

@@ -1,8 +1,8 @@
 # Superpowers MCP Toolpack Usage Guide
 
-[English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
+[English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md) | [Español](README.es.md) | [Português (BR)](README.pt-BR.md) | [हिन्दी](README.hi.md)
 
-[![Version](https://img.shields.io/badge/version-6.4.2-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![Version](https://img.shields.io/badge/version-6.4.4-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
 [![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
 
 This document summarizes the information and usage instructions for packaging the Superpowers skills and autonomous workflow system into an independent, high-performance, and secure **Model Context Protocol (MCP)** server.
@@ -13,8 +13,8 @@ This document summarizes the information and usage instructions for packaging th
 
 ### Supported Environments & Harnesses
 
-- **AI Code Editors & IDEs**: **Antigravity (AGY)**, **Cursor**, **VSCode** (GitHub Copilot), **VSCode Insiders** (GitHub Copilot), **Devin Desktop**, **Trae**, **Cline**, **Kilo Code**, **Qoder**, **Kiro**, **MiniMax Code Desktop**, **Codex**.
-- **AI Desktop Applications & Harnesses**: **Claude Desktop**, **Pi Desktop**, **QwenPaw**, **Hermes Desktop**, **Kimi Work**.
+- **AI Code Editors & IDEs**: **Antigravity (AGY)**, **Cursor**, **VSCode** (GitHub Copilot), **VSCode Insiders** (GitHub Copilot), **Devin Desktop**, **Trae**, **Cline**, **Kilo Code**, **Qoder**, **Kiro**, **MiniMax Code Desktop** *(manual setup)*, **Codex**.
+- **AI Desktop Applications & Harnesses**: **Claude Desktop**, **Pi Desktop**, **QwenPaw**, **Hermes Desktop**, **Kimi Work**, **Goose**, **OpenClaw**.
 - **Local & Self-Hosted AI Platforms**: **AnythingLLM**, **LibreChat**.
 
 ### MCP Capabilities Provided
@@ -43,10 +43,7 @@ To get up and running with Superpowers instantly without intrusive background mo
 > [!NOTE]
 > **Run From Any Directory**: You do NOT need to clone this repository or navigate to a specific folder. You can execute these commands directly from **any directory** in your terminal. The installer automatically targets global configuration files rooted in your user home directory (`~`), instantly enabling Superpowers across all your workspaces.
 
-Desktop quick setup: [LM Studio, Roo Code, ChatWise and Cherry Studio](docs/desktop-setup.md). New CLI options below are unreleased; use the local commands in the guide until the next npm release.
-
-> [!TIP]
-> **Transparency & Zero-Pollution Principle**: Superpowers will NEVER silently scan or bulk-modify unselected editors like adware. You explicitly choose the client you use, ensuring 100% transparent and safe modification via **atomic write swap** (zero crash risk, **zero disk pollution by default** without dumping `.bak` files, zero impact on your existing MCP servers).
+ChatWise and Cherry Studio require manual import, see the [desktop import guide](docs/desktop-setup.md).
 
 ### 1. Choose Your AI Agent / Editor (Targeted One-Liner)
 
@@ -71,6 +68,9 @@ Select your client and run the corresponding command in your terminal:
 | **Qoder** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target qoder` | `~/.qoder/settings.json` |
 | **Kiro** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target kiro` | `~/.kiro/settings/mcp.json` |
 | **Trae** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target trae` | `.../Trae/User/mcp.json` *(supports Trae CN)* |
+| **Codex** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target codex` | `~/.codex/config.toml` *(TOML `[mcp_servers]`)* |
+| **OpenClaw** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target openclaw` | `~/.openclaw/openclaw.json` *(JSON5 `mcp.servers`)* |
+| **Goose** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target goose` | `~/.config/goose/config.yaml` *(Win: `%APPDATA%\Block\goose\config\config.yaml`)* |
 
 *(If using Bun, append `--bun` for faster startup, e.g., `npx -y superpowers-mcp setup --target cursor --bun`)*
 
@@ -179,7 +179,26 @@ To help you choose the right skill, we have structured all 15 skills across the
 
 ## 🆕 Recent Updates
 
-### v6.4.2 (Latest)
+### v6.4.4 (Latest)
+
+- **CodeQL remediation & security patch (2026-09-28)**:
+  - Code scanning is now **0 open / 7 fixed**: closed the 3 alerts reported against v6.4.3 in `src/setup-runner.ts` (details in [SECURITY.md](SECURITY.md)).
+  - **TOML ReDoS fix**: quoted-table detection regexes replaced with linear scanners — adversarial config lines no longer cause polynomial backtracking; fail-closed behavior unchanged.
+  - **Prototype-pollution guard**: nested JSON `serverPath` segments (used by the `openclaw` target) now reject `__proto__` / `constructor` / `prototype` and non-identifier keys before any write.
+  - No behavior change for valid configs; verification: `npm test` green (regression floor **389/389**), `tsc` clean, `npm audit` 0 vulnerabilities.
+
+### v6.4.3
+
+- **Codex target & docs cleanup (2026-09-28)**:
+  - New `codex` one-click target: `setup --target codex` writes `~/.codex/config.toml` (`[mcp_servers.superpowers]`) via zero-dependency TOML merge; supports `--dry-run` / `--backup` / `--bun` / `--remove`.
+  - New `openclaw` / `goose` targets: `setup --target openclaw` writes `~/.openclaw/openclaw.json` (`mcp.servers`); `setup --target goose` writes the `extensions` block of goose's `config.yaml` (user's `enabled`/`timeout`/`envs` preserved).
+  - Removed the redundant Transparency & Zero-Pollution TIP from the setup section (duplicated the targeted-setup heading); safety details remain in Advanced Flags and SECURITY.md.
+  - `docs/desktop-setup.md` is now the English-only import guide for ChatWise and Cherry Studio (`setup --print-config`); LM Studio / Roo Code stay on the one-click table. Dropped the stale "unreleased CLI options" wording (`lmstudio`, `roo`, `--print-config` shipped in v6.3.9).
+  - Released the 7-language README nav (new ES / PT-BR / HI READMEs), ES / PT-BR / HI skill-composition guides, and the CJK bold-delimiter fix.
+  - MiniMax Code Desktop is marked *(manual setup)* (config path unverified).
+  - Verification: `npm test` green, regression floor now **389/389** (+17 setup-target cases), `npm audit` 0 vulnerabilities.
+
+### v6.4.2
 
 - **v6.4.2 security audit & code review (2026-09-24)**: closed the audit findings across the MCP server, setup scripts, build pipeline, and test harness (details in [SECURITY.md](SECURITY.md)).
   - **Traversal & error hygiene**: skill names are decoded *before* allowlist validation, so double-encoded `..%2f` / `%2e%2e` payloads are rejected with `InvalidParams`; unknown tools and prompts now return actionable `InvalidParams` errors instead of `MethodNotFound`.

package/README.pt-BR.md

@@ -0,0 +1,266 @@
+# Guia de Uso do Toolpack Superpowers MCP
+
+[English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md) | [Español](README.es.md) | [Português (BR)](README.pt-BR.md) | [हिन्दी](README.hi.md)
+
+[![Versão](https://img.shields.io/badge/version-6.4.4-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![Licença](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
+
+Este documento resume as informações e instruções de uso para empacotar as skills do Superpowers e o sistema de fluxos de trabalho autônomos em um servidor **Model Context Protocol (MCP)** independente, de alta performance e seguro.
+
+---
+
+## 🚀 Como instalar e usar
+
+### Ambientes e plataformas compatíveis
+
+- **Editores de código e IDEs com IA**: **Antigravity (AGY)**, **Cursor**, **VSCode** (GitHub Copilot), **VSCode Insiders** (GitHub Copilot), **Devin Desktop**, **Trae**, **Cline**, **Kilo Code**, **Qoder**, **Kiro**, **MiniMax Code Desktop** (configuração manual), **Codex**.
+- **Aplicativos de desktop e plataformas de agentes IA**: **Claude Desktop**, **Pi Desktop**, **QwenPaw**, **Hermes Desktop**, **Kimi Work**, **Goose**, **OpenClaw**.
+- **Plataformas de IA locais e auto-hospedadas**: **AnythingLLM**, **LibreChat**.
+
+### Recursos MCP fornecidos
+
+| Recurso do protocolo | Itens / Quantidade | Descrição |
+| :--- | :--- | :--- |
+| **Tools** | `list_skills`, `read_skill` | Descubra, pesquise e carregue as instruções completas e checklists de cada skill sob demanda. |
+| **Prompts** | 9 Native Prompts | `session-start`, `feature-pipeline`, `structured-debug`, `skill-composition`, `sdd-implementer`, `sdd-task-reviewer`, `sdd-re-review`, `spec-reviewer`, `plan-reviewer` |
+| **Resources** | 15 Skill URIs + 1 Guide | `skill://superpowers/<skill-name>` além de `guide://superpowers/skill-compositions` |
+
+### Conversando com o agente de IA (uso básico)
+
+Depois de instalado ou configurado, seu cliente MCP consegue descobrir as tools, prompts e resources do Superpowers. Os prompts MCP são invocados pelo usuário; selecione um no menu de MCP Prompts do seu cliente. O carregamento das skills depende então do agente seguir o prompt selecionado e chamar `read_skill`.
+
+**Exemplos básicos de interação:**
+- **Inicializar a disciplina de engenharia:** "Aplique o prompt `session-start`" (injeta as regras e o contexto do Superpowers)
+- **Descobrir as skills disponíveis:** "Liste todas as skills do superpowers"
+- **Carregar uma skill atômica:** "Use o `read_skill` para carregar a skill `brainstorming` e me ajude a explorar os requisitos"
+
+---
+
+## ⚡ Configuração direcionada com um clique
+
+Para começar a usar o Superpowers na hora, sem modificações intrusivas em segundo plano, use nossa ferramenta de configuração com um clique, **direcionada e respeitosa com a privacidade**.
+
+> [!NOTE]
+> **Execute de qualquer diretório**: você NÃO precisa clonar este repositório nem navegar até uma pasta específica. Você pode executar estes comandos diretamente de **qualquer diretório** no seu terminal. O instalador mira automaticamente os arquivos de configuração globais no seu diretório home (`~`), ativando o Superpowers em todos os seus workspaces na hora.
+
+ChatWise e Cherry Studio exigem importação manual, consulte o [guia de importação para desktop](docs/desktop-setup.md).
+
+### 1. Escolha seu agente / editor de IA (comando direcionado)
+
+Selecione seu cliente e execute o comando correspondente no terminal:
+
+| Plataforma / Cliente | SOs suportados | Comando de configuração com um clique | Local da configuração global |
+| :--- | :--- | :--- | :--- |
+| **LM Studio** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target lmstudio` | `~/.lmstudio/mcp.json` |
+| **Roo Code (VS Code Desktop)** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target roo` | `.../rooveterinaryinc.roo-cline/settings/mcp_settings.json` |
+| **Antigravity (Google DeepMind)** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target antigravity` | `~/.gemini/config/mcp_config.json` |
+| **Pi Desktop / Pi Agent** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target pi-desktop` | `~/.pi/agent/mcp.json` |
+| **Cursor** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target cursor` | `~/.cursor/mcp.json` |
+| **GitHub Copilot (VS Code)** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target copilot` | `Code/User/mcp.json` *(esquema `servers` do VS Code)* |
+| **GitHub Copilot (VS Code Insiders)** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target copilot-insiders` | `Code - Insiders/User/mcp.json` *(esquema `servers` do VS Code)* |
+| **Hermes Desktop / Agent** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target hermes` | `~/.hermes/config.yaml` *(Win: `%LOCALAPPDATA%\hermes`)* |
+| **Kimi Work / Kimi Code** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target kimi` | `~/.kimi-code/mcp.json` |
+| **Claude Desktop** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target claude` | `Claude/claude_desktop_config.json` |
+| **Devin Desktop (antes Windsurf)** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target devin` | `~/.config/devin/mcp_config.json` *(ou `windsurf`)* |
+| **QwenPaw (estação pessoal de agentes)** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target qwenpaw` | `~/.qwenpaw/config.json` *(apelidos: `copaw`)* |
+| **Cline (VS Code / CLI)** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target cline` | `.../saoudrizwan.claude-dev/settings/cline_mcp_settings.json` |
+| **Kilo Code** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target kilo` | `~/.config/kilo/kilo.jsonc` *(esquema nativo `mcp`)* |
+| **Qoder** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target qoder` | `~/.qoder/settings.json` |
+| **Kiro** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target kiro` | `~/.kiro/settings/mcp.json` |
+| **Trae** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target trae` | `.../Trae/User/mcp.json` *(compatível com Trae CN)* |
+| **Codex** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target codex` | `~/.codex/config.toml` *(TOML `[mcp_servers]`)* |
+| **OpenClaw** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target openclaw` | `~/.openclaw/openclaw.json` *(JSON5 `mcp.servers`)* |
+| **Goose** | macOS / Windows / Linux | `npx -y superpowers-mcp setup --target goose` | `~/.config/goose/config.yaml` *(Win: `%APPDATA%\Block\goose\config\config.yaml`)* |
+
+*(Se você usa Bun, adicione `--bun` para inicialização mais rápida, ex. `npx -y superpowers-mcp setup --target cursor --bun`)*
+
+---
+
+### 2. Configuração via Curl ou PowerShell
+
+- **macOS / Linux (via Curl com target explícito):**
+  ```bash
+  curl -fsSL https://raw.githubusercontent.com/Poseidoncode/superpowers-mcp/main/scripts/install.sh | bash -s -- --target cursor
+  ```
+
+- **Windows (via PowerShell com target explícito):**
+  ```powershell
+  & ([scriptblock]::Create((irm https://raw.githubusercontent.com/Poseidoncode/superpowers-mcp/main/scripts/install.ps1))) -Target cursor
+  ```
+
+#### Flags avançadas:
+- `--dry-run`: Mostra as mudanças sem gravar no disco.
+- `--remove`: Remove com segurança a configuração do Superpowers do cliente selecionado.
+- `--backup`: Cria um backup `.bak` com timestamp antes de modificar (padrão: desativado, poluição zero).
+- `--bun`: Usa `bunx` em vez de `npx` na configuração gerada.
+- `--target <name>`: Nome explícito do alvo (apelidos suportados, ex. `code`, `vscode`, `kimi-code`).
+
+---
+
+## 🛠️ Configuração manual do MCP
+
+Se preferir configurar manualmente, adicione as configurações abaixo ao seu IDE ou cliente MCP (ex. Cursor, Antigravity, VSCode, AnythingLLM, etc.).
+
+### Método: NPX / BUNX (recomendado)
+
+É a forma mais fácil, pois resolve os caminhos automaticamente.
+
+#### Usando Bun (mais rápido)
+```json
+{
+  "superpowers": {
+    "command": "bunx",
+    "args": ["-y", "superpowers-mcp"]
+  }
+}
+```
+
+#### Usando Node/NPM
+```json
+{
+  "superpowers": {
+    "command": "npx",
+    "args": ["-y", "superpowers-mcp"]
+  }
+}
+```
+
+---
+
+## 🔄 Composição de skills e pipelines de workflow
+
+Para tarefas complexas de engenharia, use estes **lançadores interativos de workflow**. Eles iniciam um processo guiado pelo agente e pausam nas decisões de design, revisão do plano e finalização do branch; não executam no servidor nem de forma autônoma. Veja o [`Guia de Composição de Skills`](docs/skill-compositions.pt-BR.md) publicado, também disponível como resource MCP `guide://superpowers/skill-compositions`.
+
+### 1. Pipeline de desenvolvimento de novas features
+```
+brainstorming ➔ writing-plans ➔ using-git-worktrees ➔ subagent-driven-development (TDD) ➔ verification-before-completion ➔ requesting-code-review ➔ finishing-a-development-branch
+```
+- **Como iniciar:** Selecione `feature-pipeline` no menu de MCP Prompts do seu cliente e informe `feature_name` mais `requirements` opcional.
+- **Fluxo:** Esclarece requisitos (Spec) ➔ aguarda aprovação do design ➔ cria um plano revisável ➔ aguarda aprovação do plano ➔ isola um worktree ➔ implementa com SDD ou o fallback inline e TDD ➔ verifica ➔ revisa ➔ pergunta como finalizar o branch.
+- **Fallback:** Se o host não tiver ferramentas multiagente, o workflow usa `executing-plans` em vez de dizer que despacha subagentes.
+
+### 2. Pipeline estruturada de troubleshooting
+```
+systematic-debugging ➔ using-git-worktrees ➔ dispatching-parallel-agents ➔ test-driven-development ➔ verification-before-completion ➔ requesting-code-review ➔ finishing-a-development-branch
+```
+- **Como iniciar:** Selecione `structured-debug` no menu de MCP Prompts do seu cliente e informe o problema ou os testes que falham.
+- **Fluxo:** Levanta hipóteses de causa raiz ➔ isola worktrees para agentes paralelos ➔ cria testes de reprodução que falham ➔ aplica a correção pontual ➔ confirma zero regressões ➔ revisa a correção ➔ finaliza o branch.
+
+### 3. Guia dinâmico de workflows
+- **Como iniciar:** Selecione `skill-composition` para obter um workflow recomendado para refatoração, migração ou codebase legado. Esses cenários não têm prompts lançadores dedicados no momento.
+- **Fluxo:** Recomenda dinamicamente a composição ideal de múltiplas skills para grandes refatorações, redes de segurança de migração ou onboarding:
+  - **Refatoração e migração grandes:** `brainstorming` ➔ `writing-plans (skeleton-first)` ➔ `using-git-worktrees` ➔ `subagent-driven-development` ➔ `verification-before-completion` ➔ `requesting-code-review` ➔ `finishing-a-development-branch`
+  - **Rede de segurança para código legado:** `brainstorming` ➔ `writing-plans` ➔ `test-driven-development (characterization)` ➔ `systematic-debugging` ➔ `verification-before-completion`
+
+
+---
+
+## 📋 Visão geral das skills (15 skills principais e cenários)
+
+Para ajudar você a escolher a skill certa, estruturamos as 15 skills ao longo do ciclo de vida do software (SDLC), combinando capacidades principais e cenários recomendados pela comunidade:
+
+| # | Fase do SDLC | Nome da skill | O que faz (propósito e valor principal) | Cenário recomendado |
+| :-: | :--- | :--- | :--- | :--- |
+| 1 | **🚀 Planejamento e design** | **`brainstorming`** | **Requisitos e design de arquitetura**: Explora opções e restrições antes de codar; gera specs de design; inclui revisão de UI no navegador com Visual Companion. | Antes de começar qualquer feature nova ou grande mudança; evita pular direto para o código. |
+| 2 | **🚀 Planejamento e design** | **`writing-plans`** | **Planejamento da implementação**: Decompõe specs em tarefas pequenas e testáveis, com skills recomendadas e contratos de arquivos. | Antes de refatorações multiarquivo, migrações complexas ou implementações grandes. |
+| 3 | **💻 Implementação** | **`executing-plans`** | **Execução do plano na sessão**: Executa cada tarefa passo a passo na sessão atual e depois faz uma revisão do branch inteiro no final. | Execução de planos em lote dentro da mesma sessão, sem criar subagentes. |
+| 4 | **💻 Implementação** | **`subagent-driven-development`** | **Desenvolvimento dirigido por subagentes (SDD)**: Despacha subagentes novos e isolados por tarefa, com revisões adversariais em duas camadas. | Modelo de execução recomendado para planos complexos, sem poluição de contexto. |
+| 5 | **💻 Implementação** | **`test-driven-development`** | **Desenvolvimento guiado por testes (TDD)**: Aplica ciclos rigorosos de Vermelho ➔ Verde ➔ Refatoração, garantindo cobertura robusta. | Ao implementar features logicamente desafiadoras ou algoritmos críticos. |
+| 6 | **🔍 Debugging** | **`systematic-debugging`** | **Debugging sistemático de causa raiz**: Decompõe erros complexos em hipóteses testáveis com experimentos de validação. | Diante de qualquer erro inesperado, falha de teste ou bug intermitente. |
+| 7 | **🛡️ Qualidade e revisão** | **`verification-before-completion`** | **Verificação baseada em evidências**: Exige rodar toda a suíte de testes, linter e checagens de tipos. | Antes de dizer "funciona" ou "está pronto"; traz prova tangível de conclusão. |
+| 8 | **🛡️ Qualidade e revisão** | **`requesting-code-review`** | **Início de code reviews**: Empacota diffs e relatórios para revisões multidimensionais de arquitetura e qualidade. | Antes de fazer merge de branches ou finalizar tarefas, para garantir integridade arquitetural. |
+| 9 | **🛡️ Qualidade e revisão** | **`receiving-code-review`** | **Tratamento de feedback de revisão**: Avalia sistematicamente os comentários, aplica correções e registra as decisões. | Ao tratar findings de revisão de forma sistemática, sem perder contexto. |
+| 10 | **🛡️ Qualidade e revisão** | **`finishing-a-development-branch`** | **Integração e limpeza do branch**: Gerencia PR/merge, limpa os worktrees do Git e remove branches temporários. | Quando todas as verificações passam, para integrar a feature no branch principal. |
+| 11 | **🌿 Versionamento** | **`using-git-worktrees`** | **Isolamento físico com Git**: Cria diretórios worktree isolados para features ou debugging, evitando race conditions. | Ao trabalhar em tarefas concorrentes ou investigações paralelas multiagente. |
+| 12 | **🤖 Agentes avançados** | **`dispatching-parallel-agents`** | **Orquestração de agentes em paralelo**: Despacha subagentes concorrentes em workspaces isolados para investigar várias hipóteses ao mesmo tempo. | Quando vários testes falham ou é preciso investigar teorias independentes em paralelo. |
+| 13 | **🤖 Agentes avançados** | **`using-superpowers`** | **Fundamentos e disciplina do Superpowers**: Estabelece a disciplina obrigatória de descoberta e carregamento de skills e as regras de prioridade. | Carregado automaticamente no início da sessão para impor os padrões de engenharia. |
+| 14 | **🤖 Agentes avançados** | **`writing-skills`** | **Criação e manutenção de skills**: Guia a criação, teste e empacotamento de novas skills do Superpowers. | Ao criar skills personalizadas ou melhorar instruções existentes. |
+| 15 | **🤖 Agentes avançados** | **`diagnosing-superpowers`** | **Forense de sessão e relatórios**: Reconstrói o que deu errado na sessão a partir de transcrições em disco com evidências citadas; prepara pacotes anonimizados e issues do GitHub. | Quando uma sessão saiu do trilho e você precisa de evidência do porquê, ou de um relatório para os mantenedores. |
+
+## 🆕 Novidades recentes
+
+### v6.4.4 (atual)
+
+- **Correção CodeQL e patch de segurança (2026-09-28)**:
+  - O code scanning fica em **0 abertos / 7 corrigidos**: fechados os 3 alertas reportados contra a v6.4.3 em `src/setup-runner.ts` (detalhes em [SECURITY.md](SECURITY.md)).
+  - **Correção ReDoS no TOML**: as regex de detecção de tabelas entre aspas foram trocadas por scanners lineares — linhas de configuração adversas não causam mais backtracking polinomial; o comportamento fail-closed não muda.
+  - **Guarda contra prototype pollution**: os segmentos `serverPath` do JSON aninhado (usados pelo target `openclaw`) agora rejeitam `__proto__` / `constructor` / `prototype` e chaves não identificadoras antes de gravar.
+  - Sem mudança para configurações válidas; verificação: `npm test` verde (base **389/389**), `tsc` limpo, `npm audit` 0 vulnerabilidades.
+
+### v6.4.3
+
+- **Target Codex e limpeza de docs (2026-09-28)**:
+  - Novo target `codex`: `setup --target codex` grava `~/.codex/config.toml` (`[mcp_servers.superpowers]`) com merge TOML sem dependências; suporta `--dry-run` / `--backup` / `--bun` / `--remove`.
+  - Novos targets `openclaw` / `goose`: o primeiro grava `~/.openclaw/openclaw.json` (`mcp.servers`); o segundo o bloco `extensions` do `config.yaml` do goose (preserva `enabled`/`timeout`/`envs` do usuário).
+  - Removido o bloco TIP redundante de transparência do setup (duplicava o cabeçalho); detalhes de segurança ficam em Advanced Flags e SECURITY.md.
+  - `docs/desktop-setup.md` agora é o guia de importação em inglês para ChatWise e Cherry Studio (`setup --print-config`); LM Studio / Roo Code seguem na tabela de um clique. Removida a nota obsoleta de "opções não publicadas" (`lmstudio`, `roo` e `--print-config` saíram na v6.3.9).
+  - Publicadas a navegação em 7 idiomas (novos README ES / PT-BR / HI), os guias de skill-composition ES / PT-BR / HI e a correção de negrito adjacente a CJK.
+  - MiniMax Code Desktop consta como (configuração manual) (caminho não verificado).
+  - Verificação: `npm test` verde, base agora 389/389 (+17 casos setup-target), `npm audit` 0 vulnerabilidades.
+
+### v6.4.2
+
+- **Auditoria de segurança e code review v6.4.2 (2026-09-24)**: fechou os achados de auditoria no servidor MCP, scripts de setup, pipeline de build e harness de testes (detalhes em [SECURITY.md](SECURITY.md)).
+  - **Traversal e higiene de erros**: nomes de skill são decodificados *antes* da validação contra a allowlist, então payloads com dupla codificação `..%2f` / `%2e%2e` são rejeitados com `InvalidParams`; tools e prompts desconhecidos agora retornam erros `InvalidParams` acionáveis em vez de `MethodNotFound`.
+  - **Defesa TOCTOU e contra paths destrutivos**: paths canônicos são reverificados após checagem de symlinks, limpeza de cache é protegida pelo manifesto de cópia (skills próprias do fork nunca são apagadas) e registros de drift/coverage são gravados atomicamente via arquivo temp + rename.
+  - **Builds sem race e sync tolerante**: o build de `out/setup.js` usa lock exclusivo com rechecagem de staleness por mtime, a saída do modo watch recebe chmod executável e fontes upstream ausentes terminam de forma limpa em vez de gerar drift falso.
+  - **Harness de testes honesto**: watchdog com ref mais handlers `exit`/`close` do servidor encerram hangs silenciosos, testes de drift rodam com proteção de rede e skips por privilégio limitado não contam mais como passe — o piso de regressão segue em **365/365** assertions.
+
+### v6.4.1
+
+- **Sync upstream com obra/superpowers v6.4.1**:
+  - **Execução nativa inline do plano**: o `executing-plans` reescrito roda o plano inteiro com os novos helpers `task-start` / `task-done` e depois faz uma única revisão do branch inteiro — sem check-ins no meio.
+  - **Nova skill: `diagnosing-superpowers`**: forense de sessão a partir de transcrições em disco com evidências citadas, além de pacotes anonimizados e rascunhos de GitHub issues (15 skills no total).
+  - **Comportamento de revisão**: avalia comportamento não especificado pela expectativa razoável do usuário, lista `Declined to judge`, `BASE_SHA` via `git merge-base origin/main HEAD`.
+  - **Foco de revisão do plano**: nova seção de template e item de autorrevisão que amarram edge cases implícitos na spec às tarefas responsáveis.
+  - **Novas refs de plataformas**: mapeamentos de ferramentas do Muse e Claude Code; refs de Devin/OpenCode mantidas.
+  - Scripts invocados via seu interpretador (`bash` / `node`) para que o empacotamento do marketplace não os quebre.
+- **Paridade Windows e piso de regressão**:
+  - Novos ports `task-start.ps1` / `task-done.ps1` com suítes de simetria sh/ps1.
+  - Todo o conteúdo durável dos PRs adotados preservado (ledger Discoveries, contrato de arquivos de revisão, scripts greenfield, segurança remota); baseline de drift regravada com zero drift.
+- **Auditoria de segurança completa e piso de regressão automatizado** ([`SECURITY.md`](SECURITY.md)):
+  - 100% verificado em **365 assertions de testes automatizados** (Node.js 170, Bash 67, PowerShell 128), 0 vulnerabilidades, 0 segredos hardcoded.
+  - O `task-done` inline executa os testes escolhidos pelo operador como argv (`"$@"` / `& $exe @rest`), não como shell; o texto do ledger é só informativo.
+  - `diagnosing-superpowers` é só leitura local e exportação controlada; a anonimização é best-effort — revise cada arquivo antes de compartilhar.
+  - A exportação de achados diferidos agora inclui `Final: minor (deferred):` sem contar parked de linhas de conclusão.
+  - A config local do Devin (`.devin/`) está no gitignore.
+
+### v6.3.10
+
+- **Resolução de conflitos de chaves de setup universal e preservação sem perdas**:
+  - Descobre automaticamente declarações existentes nas chaves reconhecidas (`servers`, `mcp`, `mcpServers`), evitando configurações duplicadas em conflito.
+  - Faz merge e preserva com segurança campos criados pelo usuário (`env`, `cwd`, `disabled`, `alwaysAllow`, `args`) na reinstalação.
+  - Elimina estados contraditórios entre flags opostas (`disabled: true` vs `enabled: true`).
+  - Rejeita flags desconhecidas e argumentos posicionais inesperados com exit code 1; padroniza em `process.exitCode` para não truncar saída em pipes Unix.
+- **Verificação de cache do motor de skills com stat rápido e proteção de época de scan**:
+  - Implementa verificação rápida com um único stat (`dev`, `ino`, `size`, `mtimeMs`) em paths cacheados, invalidando na hora se symlinks redirecionarem, sem revarrer a árvore toda.
+  - O `scanEpoch` monotônico crescente e o reset de `loadingEpoch` no `clearCache()` impedem que scans async pendentes repovoem caches esvaziados.
+  - A verificação com descritor autoritativo (`readFileNoFollow`) evita trocas de descritor TOCTOU.
+- **Robustez e deduplicação de templates de prompts MCP**:
+  - Para com `McpError(ErrorCode.InternalError)` e diagnóstico estruturado em stderr quando templates estão ausentes ou vazios.
+  - Rastreia substituições aplicadas via `appliedInterpolations`, evitando anexos redundantes de argumentos.
+- **Auditoria de segurança completa e piso de regressão automatizado**:
+  - 100% verificado em **292 assertions de testes automatizados** (Node.js 163, Bash 35, PowerShell 94), 0 vulnerabilidades, 0 segredos hardcoded.
+
+### v6.3.9
+
+- **Defesa permanente contra ReDoS (CodeQL Alert #4 resolvido)**:
+  - Trocou o backtracking ambíguo de regex no parsing YAML (`updateYamlConfig`) por matching de prefixo sem ambiguidade e `String.prototype.trim()` nativo.
+  - Adicionou scan linear `extractInlineComment` ($O(N)$), evitando backtracking polinomial em entradas com longos paddings de espaços. CodeQL Alert #4 (`js/polynomial-redos`) formalmente encerrado.
+  - Adicionada suíte de regressão em `tests/setup_test.js` validando processamento linear (<1ms) contra 60.000 espaços.
+- **Expansão de clientes (17 clientes de agentes IA)**:
+  - Adicionados targets para **LM Studio** (`lmstudio`, `~/.lmstudio/mcp.json`) e **Roo Code** no VS Code Desktop (`roo`, `rooveterinaryinc.roo-cline/settings/mcp_settings.json`) em macOS, Windows e Linux.
+  - Parser YAML aprimorado para preservar comentários inline em `mcp_servers:` e `superpowers:`.
+- **Ferramentas de importação desktop e integridade do exit code**:
+  - Adicionado `setup --print-config` (opcional `--bun`) para saída JSON limpa para importação em clientes desktop (ChatWise, Cherry Studio, etc.) sem gravar arquivos.
+  - A delegação de setup em `src/server.ts` agora preserva o `process.exitCode` dos comandos CLI.
+- **Guia de configuração desktop**:
+  - Adicionado o guia completo [`docs/desktop-setup.md`](docs/desktop-setup.md) para LM Studio, Roo Code, ChatWise e Cherry Studio.
+
+👉 *Para o histórico completo de releases, veja [CHANGELOG.md](CHANGELOG.md).*
+
+---
+
+## 🙏 Agradecimentos
+
+Este projeto é um fork e adaptação do projeto original [Superpowers](https://github.com/obra/superpowers) de [obra](https://github.com/obra). Somos gratos pelo trabalho pioneiro deles na definição do framework de skills agênticas e da metodologia de desenvolvimento que sustenta este servidor MCP.