wormclaude 1.0.159 → 1.0.161

package/dist/api.js

@@ -111,6 +111,26 @@ async function fetchWithRetry(url, init) {
     }
     throw lastErr ?? new Error('retry exhausted');
 }
+// Konuşmadaki EN SON URL/host'u bul (SecurityScan narration-recovery hedefi). Dosya adlarını
+// (.js/.json/.html…) ELER ki "package.json" gibi şeyler hedef sanılmasın.
+function _lastTargetFromMessages(messages) {
+    const urlRe = /https?:\/\/[^\s"'<>)\]]+/i;
+    const hostRe = /\b((?:[a-z0-9](?:[a-z0-9-]{0,61}[a-z0-9])?\.)+[a-z]{2,24})\b/i;
+    const badExt = /\.(?:js|ts|tsx|jsx|json|html?|css|png|jpe?g|gif|svg|md|txt|py|sh|yml|yaml|lock|map|ico|woff2?|mjs|cjs)$/i;
+    for (let i = messages.length - 1; i >= 0; i--) {
+        const c = messages[i]?.content;
+        const s = typeof c === 'string' ? c : Array.isArray(c) ? c.map((x) => x?.text || '').join(' ') : '';
+        if (!s)
+            continue;
+        const u = s.match(urlRe);
+        if (u)
+            return u[0];
+        const h = s.match(hostRe);
+        if (h && !badExt.test(h[1]) && !/\.(localhost)$/i.test(h[1]))
+            return h[1];
+    }
+    return '';
+}
 export async function* streamChat(messages, tools, config, signal) {
     const body = {
         model: config.model,
@@ -263,8 +283,9 @@ export async function* streamChat(messages, tools, config, signal) {
         args: safeJsonStringify(c.args),
     }));
     // Yedek: upstream yapısal tool_call vermediyse modelin metne gömdüğü çağrıyı kurtar.
+    // scanTarget: SecurityScan'i "anlatıp" çağırmayan 32B için hedefi konuşmadan al (en son URL/host).
     if (toolCalls.length === 0 && fullText) {
-        const recovered = recoverInlineToolCalls(fullText);
+        const recovered = recoverInlineToolCalls(fullText, { scanTarget: _lastTargetFromMessages(messages) });
         if (recovered.length)
             toolCalls = recovered;
     }

package/dist/cli.js

@@ -948,9 +948,13 @@ function App() {
             // başarısızlıklar birikir) toplam eşiği aşınca dur+özetle.
             const _failed = results.filter((r) => !r.ok).length;
             totalFails += _failed;
+            // Kurulum turu: model eksik aracı kuruyor (winget/choco/pip/apt/brew/npm -g…). Bu normal
+            // KURTARMA, "başarısızlık döngüsü" değil → ardışık-fail sayacını SIFIRLA ki uzun install
+            // (ya da install öncesi 'komut yok' hatası) devre-kesiciyi erken tetikleyip taramayı kesmesin.
+            const _installTurn = results.some((r) => /\b(?:winget|choco|scoop|apt(?:-get)?|dnf|yum|zypper|pacman|brew|pip3?|pipx|gem|cargo|go)\b[^|&;]*\b(?:install|-S|in)\b/i.test(String(r?.args?.command || '')));
             const _allFailed = results.length > 0 && _failed === results.length;
-            consecFailTurns = _allFailed ? consecFailTurns + 1 : 0;
-            if (consecFailTurns >= 2 || totalFails >= 4) {
+            consecFailTurns = (_allFailed && !_installTurn) ? consecFailTurns + 1 : 0;
+            if (consecFailTurns >= 2 || totalFails >= 5) {
                 historyRef.current = [...historyRef.current, {
                         role: 'user',
                         content: getLang() === 'en'

package/dist/inlinetools.js

@@ -232,11 +232,19 @@ function extractTopLevelJsonObjects(text) {
 }
 /** Metindeki gömülü araç çağrılarını kurtarır. Gürültüden kaçınmak için yalnız açık sarmalları
  *  (<tool_call>, ```json) veya mesajın TAMAMI tek JSON çağrısıysa onu alır. */
-export function recoverInlineToolCalls(text) {
+// SecurityScan'i ÇAĞIRMAYIP "anlatan" 32B için: tarama-ismi + aksiyon-fiili + hedef → gerçek çağrı.
+// (Model "Recon işlemini başlatıyorum:" deyip takılıyordu; kullanıcı 'başla' deyip duruyordu.)
+// Stem eşleşmesi (Türkçe ekleri için sondaki \b yok): "tarayacağım/tarıyorum", "keşfederek".
+// tara(?!f) → "taraf/tarafından" YANLIŞ yakalanmaz; "keşif" (isim) + "keşf" (keşfet fiili) ayrı.
+const _SCAN_NOUN_RE = /\b(?:recon|keşif|keşf|kesif|tar[aı](?!f)|scan|securityscan|zafiyet|enjeksiyon|injection|sqli|xss)/i;
+const _SCAN_ACT_RE = /(başl|basl|çalıştır|calistir|gerçekleştir|gerceklestir|kullan|aca[gğ]|ece[gğ]|acak|ecek|[ıiuü]yor|start|run\b|launch|initiat|perform)/i;
+function _scanIntent(s) { return _SCAN_NOUN_RE.test(s) && _SCAN_ACT_RE.test(s); }
+export function recoverInlineToolCalls(text, opts) {
     const t = (text || '').trim();
-    // JSON/prose/ToolName{…}/ToolName(…) çağrısı yoksa erken çık.
+    const scanTarget = (opts?.scanTarget || '').trim();
+    // JSON/prose/ToolName{…}/ToolName(…)/SecurityScan-niyeti çağrısı yoksa erken çık.
     // (Kod fence'i varsa çıkma — dosya-adı etiketli blok olabilir, adım 7 karar verir.)
-    if (!t || (!t.includes('"name"') && !t.includes('"tool"') && !t.includes('"function"') && !/AskUserQuestion/i.test(t) && !TOOL_PREFIX_RE.test(t) && !TOOL_PAREN_RE.test(t) && !t.includes('```')))
+    if (!t || (!t.includes('"name"') && !t.includes('"tool"') && !t.includes('"function"') && !/AskUserQuestion/i.test(t) && !TOOL_PREFIX_RE.test(t) && !TOOL_PAREN_RE.test(t) && !t.includes('```') && !(scanTarget && _scanIntent(t))))
         return [];
     const out = [];
     const seen = new Set();
@@ -334,6 +342,20 @@ export function recoverInlineToolCalls(text) {
             }
         }
     }
+    // 6.5) SecurityScan NARRASYON → gerçek çağrı. 32B "recon başlatıyorum / XSS taraması yapacağım /
+    //      SecurityScan ile tarayacağız" diye NİYET yazıp aracı çağırmıyor → takılıyordu. Hedef
+    //      (konuşmadan) + niyet varsa SecurityScan'i kendimiz emit ediyoruz. Araç metinden seçilir.
+    if (!out.length && scanTarget && _scanIntent(t)) {
+        const low = t.toLowerCase();
+        let tool = 'recon'; // varsayılan: genel "tara" → önce keşif
+        if (/\bxss\b/.test(low))
+            tool = 'xss';
+        else if (/sql/.test(low))
+            tool = 'sqli';
+        else if (/(recon|keşif|keşf|kesif)/.test(low))
+            tool = 'recon';
+        push({ name: 'SecurityScan', arguments: { tool, target: scanTarget } });
+    }
     // 7) SON ÇARE: hiç çağrı kurtarılamadıysa, dosya-adı etiketli ```kod bloklarını
     //    Write'a çevir (model build'de Write yerine kod yapıştırınca dosya kaybolmasın).
     //    Adım 7, gerçek tool-call YOKKEN çalışır → "kod göster"i bozmaz (etiket gerekir).

package/dist/theme.js

@@ -16,4 +16,4 @@ export const theme = {
     synType: '#a78bfa', // tip/sınıf adları, sabitler
     synProp: '#e0e0e0', // özellik/anahtar adları
 };
-export const VERSION = '1.0.159';
+export const VERSION = '1.0.161';

package/dist/tools.js

@@ -32,6 +32,16 @@ const DEFAULT_BASH_TIMEOUT_MS = 120000;
 // Bunları run_in_background istenmese bile OTOMATİK arka plana alıyoruz → CLI asla donmaz.
 const _DEV_SERVER_RE = /\b(?:npm|pnpm|yarn)\s+(?:run\s+)?(?:dev|start|serve|preview)\b|\b(?:next|nuxt|vite|gatsby)\s+(?:dev|develop|start)\b|\bng\s+serve\b|\breact-scripts\s+start\b|\bnodemon\b|\bhttp-server\b|(?:^|\s)serve(?:\s|$)|\bpython3?\s+-m\s+http\.server\b|\bflask\s+run\b|\buvicorn\b|\bgunicorn\b|\bphp\s+-S\b|\brails\s+s(?:erver)?\b|\bwebpack(?:-dev-server)?\s+serve\b/i;
 const MAX_BASH_TIMEOUT_MS = 600000;
+// Paket KURULUM komutları (winget/choco/pip/apt/brew/npm -g …) yavaştır (indirme+derleme):
+// 2 dk default timeout'u aşıp ÖLDÜRÜLÜYORLARDI → "install yarım kaldı" + devre-kesici tetikleniyordu.
+// Bunlara otomatik MAX timeout (10 dk) verilir; model ayrıca süre belirtirse o kullanılır.
+const _LONG_INSTALL_RE = /\b(?:winget\s+install|choco\s+install|scoop\s+install|apt(?:-get)?\s+install|dnf\s+install|yum\s+install|zypper\s+(?:in|install)|pacman\s+-S|brew\s+install|pip3?\s+install|pipx\s+install|gem\s+install|cargo\s+install|go\s+install|npm\s+(?:i|install)\b[^|&;]*-g)\b/i;
+function _cmdTimeout(cmd, explicit) {
+    let t = Number(explicit) || (_LONG_INSTALL_RE.test(cmd) ? MAX_BASH_TIMEOUT_MS : DEFAULT_BASH_TIMEOUT_MS);
+    if (t > MAX_BASH_TIMEOUT_MS)
+        t = MAX_BASH_TIMEOUT_MS;
+    return t;
+}
 // Bash çalışma dizini — oturum boyunca kalıcı. execSync her çağrıda taze shell açtığı için
 // `cd` normalde kaybolur; burada cwd'yi takip edip her komuta geçiriyoruz.
 let bashCwd;
@@ -1033,9 +1043,7 @@ export async function executeTool(name, args) {
                     : '';
                 return { ok: true, output: `Background task started: ${task.id}.${_note} Read output later with TaskOutput("${task.id}").` };
             }
-            let timeout = Number(args.timeout) || DEFAULT_BASH_TIMEOUT_MS;
-            if (timeout > MAX_BASH_TIMEOUT_MS)
-                timeout = MAX_BASH_TIMEOUT_MS;
+            const timeout = _cmdTimeout(_cmd, args.timeout);
             const out = await runBashCapturingCwd(String(args.command), timeout);
             return { ok: true, output: (out || '(no output)').slice(0, 20000) };
         }
@@ -1389,9 +1397,7 @@ export async function executeTool(name, args) {
             return { ok: true, output: txt || '(boş)' };
         }
         if (name === 'PowerShell') {
-            let timeout = Number(args.timeout) || DEFAULT_BASH_TIMEOUT_MS;
-            if (timeout > MAX_BASH_TIMEOUT_MS)
-                timeout = MAX_BASH_TIMEOUT_MS;
+            const timeout = _cmdTimeout(String(args.command), args.timeout);
             const cmd = String(args.command).replace(/"/g, '\\"');
             // ASYNC — event-loop'u bloklamaz (eski execSync donmaya sebep oluyordu).
             const { out, code, killed } = await _spawnAsync(`powershell -NoProfile -NonInteractive -Command "${cmd}"`, timeout, { shell: true, windowsHide: true, cwd: getBashCwd() });

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "wormclaude",
-  "version": "1.0.159",
+  "version": "1.0.161",
   "description": "WormClaude CLI - uncensored security+code assistant (ink TUI, Claude-style)",
   "type": "module",
   "bin": {