wormclaude 1.0.167 → 1.0.169

package/dist/commands.js

@@ -329,6 +329,20 @@ export function summarizeScan(target, findings) {
             : `\n➤ Verdict: no high/medium issues; tested surface largely clean. (Stored/DOM/behind-auth out of scope)`);
     return out;
 }
+// Tarama sonucunu MODELİN context'ine ekle → kullanıcı tarama hakkında soru sorabilsin
+// ("türkçe anlat", "neyi önce düzelteyim", "SSRF nedir"). assistant() sadece ekrana basar, geçmişe
+// eklemez; bu yüzden model taramayı bilmiyordu. Özet + yüksek/orta bulgular eklenir (context şişmesin).
+function injectScanContext(ctx, target, findings) {
+    if (!findings || !findings.length)
+        return;
+    const imp = findings.filter((f) => ['critical', 'high', 'medium'].includes(f.severity)).slice(0, 40);
+    const note = summarizeScan(target, findings).join('\n') + (imp.length ? '\n' + imp.map(formatFinding).join('\n') : '');
+    try {
+        ctx.setHistory([...ctx.getHistory(),
+            { role: 'assistant', content: `[${tt('Security scan result', 'Güvenlik tarama sonucu')} — ${target}]\n${note}` }]);
+    }
+    catch { /* geçmiş güncellenemezse sessiz geç */ }
+}
 // /recon /scan /xss /sqli — ince runner'ı sürer. Zorunlu yetki onayı + trust 3+ teaser.
 // Slash'sız komut tespiti: kullanıcı "recon target.com" (slash'sız) yazınca "/recon target.com" öner.
 // FALSE-POZİTİF guard: ilk kelime tam komut adı + argüman var + soru DEĞİL ("recon nedir?" tetiklemez).
@@ -416,6 +430,7 @@ async function pentestCmd(tool, arg, ctx) {
             lines.push(`  … +${f.length - 40} ${tt('more', 'daha')}`);
     }
     ctx.assistant(lines.join('\n'));
+    injectScanContext(ctx, rep.target || target, f); // model tarama hakkında soruları yanıtlayabilsin
 }
 // /fullscan — DETERMİNİSTİK tam tarama. Modelin doğaçlamasına (nmap/sqlmap orkestrasyonu →
 // narration/uydurma/PATH derdi) GÜVENMEZ: recon → XSS → SQLi motorunu KOD sırayla, her hedefte
@@ -497,6 +512,7 @@ async function fullScanCmd(arg, ctx) {
             lines.push(`  … +${all.length - 60} ${tt('more', 'daha')}`);
     }
     ctx.assistant(lines.join('\n'));
+    injectScanContext(ctx, target, all); // model tarama hakkında soruları yanıtlayabilsin
 }
 // /exploit ve /harden — AKTİF tarama DEĞİL, model-üretim görevleri (PoC / YARA-Sigma yazar).
 // Güçlü, yetkili-kapsam çerçevesiyle modele gider (skill gibi). Çıktı kullanıcının dilinde.

package/dist/theme.js

@@ -16,4 +16,4 @@ export const theme = {
     synType: '#a78bfa', // tip/sınıf adları, sabitler
     synProp: '#e0e0e0', // özellik/anahtar adları
 };
-export const VERSION = '1.0.167';
+export const VERSION = '1.0.169';

package/dist/tools.js

@@ -47,6 +47,10 @@ function _cmdTimeout(cmd, explicit) {
 let bashCwd;
 export function getBashCwd() { return bashCwd || process.cwd(); }
 export function setBashCwd(dir) { bashCwd = dir; }
+// SecurityScan döngü-kırıcı: model mevcut bulguları "açıklarken" aynı taramayı tekrar tekrar
+// çağırıp döngüye giriyordu. Aynı (tool,target) 2 dk içinde tekrar gelirse YENİDEN tarama yok —
+// önceki sonucu + "yeniden tarama, bulgularla yanıtla" notunu dön.
+const _scanCache = new Map();
 // Göreli dosya yollarını AKTİF workspace'e (bashCwd) çözer; mutlak yol aynen kalır.
 // Böylece model "index.html" gibi göreli yol verse bile dosya bilinen klasöre yazılır.
 export function resolveWs(fp) {
@@ -733,6 +737,13 @@ async function execOne(call, hooks) {
         }
         if (tool === 'scan')
             tool = 'recon'; // "scan" genel tarama → motorun bildiği "recon" (slash ile aynı)
+        // DÖNGÜ-KIRICI: aynı tarama 2 dk içinde tekrar → yeniden koşma, önceki sonuç + "yeniden tarama" notu.
+        const _ck = tool + '|' + target.toLowerCase();
+        const _cached = _scanCache.get(_ck);
+        if (_cached && Date.now() - _cached.t < 120000) {
+            return { ok: true, args, output: _cached.out
+                    + '\n\n[ALREADY-SCANNED] This exact scan just ran — results above. Do NOT scan again. Answer the user from these findings (explain / prioritize / translate / show fixes). Re-scanning is a loop.' };
+        }
         try {
             const { runPentest } = await import('./pentest.js');
             const out = await runPentest(cfg(), tool, target, true, () => { });
@@ -754,6 +765,7 @@ async function execOne(call, hooks) {
                 + ` the user to run the deterministic command "/fullscan ${target}" — it chains recon + XSS + SQLi`
                 + ` in one reliable, repeatable pass. Do NOT hand-orchestrate nmap/sqlmap yourself; recommend`
                 + ` /fullscan. Pair it with the authorization reminder (only on owned / written-authorized targets).`;
+            _scanCache.set(_ck, { out: txt, t: Date.now() }); // döngü-kırıcı için sakla
             return { ok: true, output: txt, args };
         }
         catch (e) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "wormclaude",
-  "version": "1.0.167",
+  "version": "1.0.169",
   "description": "WormClaude CLI - uncensored security+code assistant (ink TUI, Claude-style)",
   "type": "module",
   "bin": {