wormclaude 1.0.168 → 1.0.170

package/dist/commands.js

@@ -172,7 +172,7 @@ const _REMED = {
     'open-redirect': { t: 'Açık Yönlendirme', cwe: 'CWE-601', impact: 'Oltalama/phishing — kullanıcı güvenilen alandan kötücül siteye yönlenir.', fix: 'Yönlendirme hedefini allowlist’le; harici URL’e doğrudan yönlendirme yapma.' },
     crlf: { t: 'CRLF / HTTP Başlık Enjeksiyonu', cwe: 'CWE-113', impact: 'Başlık enjeksiyonu, önbellek zehirleme, oturum sabitleme.', fix: 'Yanıt başlığına giren girdiden CR/LF (%0d%0a) temizle.' },
     'graphql-introspection': { t: 'GraphQL Introspection Açık', cwe: 'CWE-200', impact: 'Tüm API şeması/gizli uçlar ifşa → saldırı yüzeyi haritalanır.', fix: 'Üretimde introspection’ı kapat; şema ifşasını sınırla.' },
-    path: { t: 'Açıkta Dizin/Dosya', cwe: 'CWE-538', impact: 'Hassas dosya/uç ifşası (kaynak, yedek, yönetim) → bilgi sızması.', fix: 'Hassas yolları kaldır/kısıtla; .git/.env vb. web kökünden çıkar; erişim kontrolü.' },
+    path: { t: 'Keşfedilen uç/dosya', cwe: '', impact: 'Erişilebilir bir uç bulundu; içerik hassas değilse risk DÜŞÜKTÜR (robots.txt/sitemap/login normaldir, 403 = korumalı).', fix: 'Beklenmeyen/hassas yolları kaldır ya da erişimi kısıtla.' },
     weak_headers: { t: 'Eksik Güvenlik Başlıkları', cwe: 'CWE-693', impact: 'Clickjacking/MIME-sniffing/MITM riskini artırır.', fix: 'CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy ekle.' },
     cors: { t: 'CORS Yanlış Yapılandırması', cwe: 'CWE-942', impact: 'Kötücül site kullanıcı adına yetkili istek yapabilir, veri çalar.', fix: 'Origin’i allowlist’le; ACAO:* + credentials birlikte kullanma.' },
     exposure: { t: 'Hassas Dosya İfşası', cwe: 'CWE-538', impact: 'Sır/yapılandırma sızması (.git/.env/yedek).', fix: 'Dosyaları web kökünden kaldır; erişimi engelle; sızan sırları rotate et.' },
@@ -210,7 +210,7 @@ export function buildReport(scan) {
             out.push(`- **${L ? 'Kanıt' : 'Evidence'}:** ${f.evidence}`);
         else if (f.missing)
             out.push(`- **${L ? 'Eksik' : 'Missing'}:** ${(f.missing || []).join(', ')}`);
-        if (r) {
+        if (r && f.severity !== 'info') { // info bulgularda alarm-etkisi/çözüm gösterme (gürültü)
             out.push(`- **${L ? 'Etki' : 'Impact'}:** ${r.impact}`);
             out.push(`- **${L ? 'Çözüm' : 'Remediation'}:** ${r.fix}`);
         }

package/dist/theme.js

@@ -16,4 +16,4 @@ export const theme = {
     synType: '#a78bfa', // tip/sınıf adları, sabitler
     synProp: '#e0e0e0', // özellik/anahtar adları
 };
-export const VERSION = '1.0.168';
+export const VERSION = '1.0.170';

package/dist/tools.js

@@ -47,6 +47,10 @@ function _cmdTimeout(cmd, explicit) {
 let bashCwd;
 export function getBashCwd() { return bashCwd || process.cwd(); }
 export function setBashCwd(dir) { bashCwd = dir; }
+// SecurityScan döngü-kırıcı: model mevcut bulguları "açıklarken" aynı taramayı tekrar tekrar
+// çağırıp döngüye giriyordu. Aynı (tool,target) 2 dk içinde tekrar gelirse YENİDEN tarama yok —
+// önceki sonucu + "yeniden tarama, bulgularla yanıtla" notunu dön.
+const _scanCache = new Map();
 // Göreli dosya yollarını AKTİF workspace'e (bashCwd) çözer; mutlak yol aynen kalır.
 // Böylece model "index.html" gibi göreli yol verse bile dosya bilinen klasöre yazılır.
 export function resolveWs(fp) {
@@ -733,6 +737,13 @@ async function execOne(call, hooks) {
         }
         if (tool === 'scan')
             tool = 'recon'; // "scan" genel tarama → motorun bildiği "recon" (slash ile aynı)
+        // DÖNGÜ-KIRICI: aynı tarama 2 dk içinde tekrar → yeniden koşma, önceki sonuç + "yeniden tarama" notu.
+        const _ck = tool + '|' + target.toLowerCase();
+        const _cached = _scanCache.get(_ck);
+        if (_cached && Date.now() - _cached.t < 120000) {
+            return { ok: true, args, output: _cached.out
+                    + '\n\n[ALREADY-SCANNED] This exact scan just ran — results above. Do NOT scan again. Answer the user from these findings (explain / prioritize / translate / show fixes). Re-scanning is a loop.' };
+        }
         try {
             const { runPentest } = await import('./pentest.js');
             const out = await runPentest(cfg(), tool, target, true, () => { });
@@ -754,6 +765,7 @@ async function execOne(call, hooks) {
                 + ` the user to run the deterministic command "/fullscan ${target}" — it chains recon + XSS + SQLi`
                 + ` in one reliable, repeatable pass. Do NOT hand-orchestrate nmap/sqlmap yourself; recommend`
                 + ` /fullscan. Pair it with the authorization reminder (only on owned / written-authorized targets).`;
+            _scanCache.set(_ck, { out: txt, t: Date.now() }); // döngü-kırıcı için sakla
             return { ok: true, output: txt, args };
         }
         catch (e) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "wormclaude",
-  "version": "1.0.168",
+  "version": "1.0.170",
   "description": "WormClaude CLI - uncensored security+code assistant (ink TUI, Claude-style)",
   "type": "module",
   "bin": {