wormclaude 1.0.190 → 1.0.191

package/dist/codeaudit.js

@@ -0,0 +1,188 @@
+// SAST — kaynak kod güvenlik taraması. TAMAMEN YEREL (kod sunucuya gitmez; gizlilik).
+// Desen-tabanlı dedektörler (gizli sır, tehlikeli fonksiyon, SQLi/cmd-injection, zayıf kripto) +
+// bağımlılık-CVE (küratörlü liste). Bulgular dosya:satır + severity + çözüm ile döner.
+import fs from 'node:fs';
+import path from 'node:path';
+const CODE_EXT = new Set(['.py', '.js', '.jsx', '.ts', '.tsx', '.mjs', '.cjs', '.php', '.rb', '.go',
+    '.java', '.kt', '.cs', '.c', '.cc', '.cpp', '.h', '.hpp', '.rs', '.sh', '.bash', '.ps1', '.sql',
+    '.html', '.vue', '.svelte', '.env', '.yml', '.yaml', '.tf', '.dockerfile']);
+const SKIP_DIR = new Set(['node_modules', '.git', 'dist', 'build', 'out', 'vendor', '.next', '.venv',
+    'venv', '__pycache__', 'coverage', '.cache', 'target', 'bin', 'obj', '_archives']);
+// ── Gizli SIR desenleri (gitleaks tarzı). Değer env-ref/placeholder/boşsa elenir (FP). ──
+const SECRET_RULES2 = [
+    { id: 'AWS access key', re: /\bAKIA[0-9A-Z]{16}\b/, sev: 'critical' },
+    { id: 'AWS secret key', re: /aws.{0,20}['"][0-9a-zA-Z/+]{40}['"]/i, sev: 'critical' },
+    { id: 'Özel anahtar (PEM)', re: /-----BEGIN (?:RSA |EC |OPENSSH |DSA |PGP )?PRIVATE KEY-----/, sev: 'critical' },
+    { id: 'GitHub token', re: /\bgh[pousr]_[0-9A-Za-z]{36}\b/, sev: 'critical' },
+    { id: 'Slack token', re: /\bxox[baprs]-[0-9A-Za-z-]{10,}\b/, sev: 'high' },
+    { id: 'Google API key', re: /\bAIza[0-9A-Za-z_-]{35}\b/, sev: 'high' },
+    { id: 'Stripe key', re: /\b(?:sk|rk)_live_[0-9A-Za-z]{20,}\b/, sev: 'critical' },
+    { id: 'JWT (gömülü)', re: /\beyJ[A-Za-z0-9_-]{8,}\.eyJ[A-Za-z0-9_-]{8,}\.[A-Za-z0-9_-]{8,}/, sev: 'high' },
+    { id: 'Genel sır (key/secret/token/password=...)', re: /(?:api[_-]?key|apikey|secret|token|passwd|password|pwd|access[_-]?token|auth[_-]?token|private[_-]?key)\s*[:=]\s*['"][^'"\s]{8,}['"]/i, sev: 'high' },
+];
+const PLACEHOLDER = /(your|example|placeholder|changeme|xxx+|<[^>]+>|\$\{|process\.env|os\.environ|getenv|import\.meta\.env|dotenv|todo|fixme|test|dummy|sample|redacted|\*\*\*)/i;
+// ── Tehlikeli fonksiyon / kod-deseni dedektörleri ──
+const PATTERN_RULES = [
+    { id: 'eval() kullanımı', re: /(?<![.\w$])eval\s*\(/, sev: 'high', cwe: 'CWE-95', fix: 'eval kaldır; JSON.parse / güvenli ayrıştırıcı kullan' },
+    { id: 'new Function() (dinamik kod)', re: /\bnew\s+Function\s*\(/, sev: 'high', cwe: 'CWE-95', fix: 'dinamik kod çalıştırmayı kaldır' },
+    { id: 'os.system / shell çağrısı', re: /\bos\.system\s*\(|subprocess\.[A-Za-z]+\([^)]*shell\s*=\s*True|child_process|shell_exec\s*\(|\bsystem\s*\(|passthru\s*\(/, sev: 'high', cwe: 'CWE-78', fix: 'kabuk yerine argüman dizisi (shell=False / execFile) kullan; girdiyi asla birleştirme' },
+    { id: 'innerHTML / dangerouslySetInnerHTML', re: /\.innerHTML\s*=|dangerouslySetInnerHTML|document\.write\s*\(/, sev: 'medium', cwe: 'CWE-79', fix: 'textContent kullan ya da çıktıyı escape/sanitize et (DOMPurify)' },
+    { id: 'pickle/yaml.load (güvensiz deser.)', re: /\bpickle\.loads?\s*\(|yaml\.load\s*\((?![^)]*Safe)|unserialize\s*\(/, sev: 'high', cwe: 'CWE-502', fix: 'güvenli deserializasyon (yaml.safe_load / json); güvenilmeyen veriyi pickle etme' },
+    { id: 'Parola için zayıf hash (md5/sha1)', re: /(?:password|passwd|pwd|şifre|sifre|parola)[\s\S]{0,30}(?:md5|sha1)|(?:md5|sha1)\s*\([^)]{0,40}(?:password|passwd|pwd|şifre|sifre|parola)/i, sev: 'medium', cwe: 'CWE-327', fix: 'parola için bcrypt/argon2/scrypt (md5/sha1 kırılabilir)' },
+    { id: 'SQL string birleştirme', re: /(?:execute|query|cursor\.execute|\.raw)\s*\(\s*[`'"][^`'"]*(?:SELECT|INSERT|UPDATE|DELETE|FROM|WHERE)[^`'"]*['"`]?\s*(?:\+|%|\.format|f['"]|\$\{)/i, sev: 'high', cwe: 'CWE-89', fix: 'parametreli sorgu / prepared statement kullan (asla string birleştirme)' },
+    { id: 'TLS doğrulama kapalı', re: /verify\s*=\s*False|rejectUnauthorized\s*:\s*false|InsecureSkipVerify\s*:\s*true|CURLOPT_SSL_VERIFYPEER.{0,6}(?:false|0)/i, sev: 'medium', cwe: 'CWE-295', fix: 'sertifika doğrulamayı açık tut' },
+    { id: 'Hardcoded localhost/IP+port (config sızıntısı)', re: /(?:password|secret|token)\s*[:=]\s*['"][^'"]{6,}/i, sev: 'low', cwe: 'CWE-798', fix: 'gizli değerleri env/secret-manager\'a taşı' },
+    { id: 'debug=True / hata ifşası', re: /debug\s*=\s*True|app\.run\([^)]*debug\s*=\s*True|DEBUG\s*=\s*true/i, sev: 'low', cwe: 'CWE-489', fix: 'üretimde debug kapalı olmalı' },
+];
+// ── Bağımlılık CVE (küratörlü; tam liste için npm audit / pip-audit öner) ──
+const VULN_DEPS = {
+    lodash: { below: '4.17.21', cve: 'CVE-2021-23337 (prototype pollution / cmd inj)', sev: 'high' },
+    axios: { below: '0.21.2', cve: 'CVE-2021-3749 (ReDoS/SSRF)', sev: 'medium' },
+    minimist: { below: '1.2.6', cve: 'CVE-2021-44906 (prototype pollution)', sev: 'high' },
+    'node-fetch': { below: '2.6.7', cve: 'CVE-2022-0235 (bilgi sızıntısı)', sev: 'medium' },
+    express: { below: '4.17.3', cve: 'CVE-2022-24999 (qs DoS)', sev: 'medium' },
+    jsonwebtoken: { below: '9.0.0', cve: 'CVE-2022-23529 (zayıf doğrulama)', sev: 'high' },
+    flask: { below: '2.2.5', cve: 'CVE-2023-30861 (cookie sızıntısı)', sev: 'medium' },
+    requests: { below: '2.31.0', cve: 'CVE-2023-32681 (proxy-auth sızıntısı)', sev: 'medium' },
+};
+function _semverLt(a, b) {
+    const pa = a.replace(/[^0-9.]/g, '').split('.').map(Number);
+    const pb = b.split('.').map(Number);
+    for (let i = 0; i < 3; i++) {
+        const x = pa[i] || 0, y = pb[i] || 0;
+        if (x < y)
+            return true;
+        if (x > y)
+            return false;
+    }
+    return false;
+}
+function _walk(dir, out, depth = 0) {
+    if (depth > 12 || out.length > 5000)
+        return;
+    let entries;
+    try {
+        entries = fs.readdirSync(dir, { withFileTypes: true });
+    }
+    catch {
+        return;
+    }
+    for (const e of entries) {
+        const full = path.join(dir, e.name);
+        if (e.isDirectory()) {
+            if (!SKIP_DIR.has(e.name) && !e.name.startsWith('.'))
+                _walk(full, out, depth + 1);
+        }
+        else if (e.isFile()) {
+            const ext = path.extname(e.name).toLowerCase();
+            if (CODE_EXT.has(ext) || /^(dockerfile|\.env)/i.test(e.name))
+                out.push(full);
+        }
+    }
+}
+function _depAudit(root, findings) {
+    // package.json
+    try {
+        const pj = path.join(root, 'package.json');
+        if (fs.existsSync(pj)) {
+            const j = JSON.parse(fs.readFileSync(pj, 'utf8'));
+            const deps = { ...(j.dependencies || {}), ...(j.devDependencies || {}) };
+            for (const [name, ver] of Object.entries(deps)) {
+                const v = VULN_DEPS[name];
+                if (v && typeof ver === 'string' && _semverLt(ver, v.below)) {
+                    findings.push({ severity: v.sev, type: 'dependency', file: 'package.json', line: 0,
+                        evidence: `${name}@${ver} — ${v.cve}`, fix: `${name} >= ${v.below}'e yükselt`, cwe: 'CWE-1104' });
+                }
+            }
+        }
+    }
+    catch { }
+    // requirements.txt
+    try {
+        const rq = path.join(root, 'requirements.txt');
+        if (fs.existsSync(rq)) {
+            for (const ln of fs.readFileSync(rq, 'utf8').split('\n')) {
+                const m = ln.match(/^([A-Za-z0-9_.-]+)\s*==\s*([0-9.]+)/);
+                if (m) {
+                    const v = VULN_DEPS[m[1].toLowerCase()];
+                    if (v && _semverLt(m[2], v.below))
+                        findings.push({ severity: v.sev, type: 'dependency', file: 'requirements.txt', line: 0, evidence: `${m[1]}==${m[2]} — ${v.cve}`, fix: `${m[1]} >= ${v.below}`, cwe: 'CWE-1104' });
+                }
+            }
+        }
+    }
+    catch { }
+}
+/** Bir dizini SAST tara → bulgular (yerel, kod hiçbir yere gitmez). */
+export function auditCode(root, opts) {
+    const files = [];
+    try {
+        if (fs.statSync(root).isFile())
+            files.push(root);
+        else
+            _walk(root, files);
+    }
+    catch {
+        return { findings: [], filesScanned: 0 };
+    }
+    const max = opts?.maxFiles || 1500;
+    const scan = files.slice(0, max);
+    const findings = [];
+    const seen = new Set();
+    for (const f of scan) {
+        let text = '';
+        try {
+            const st = fs.statSync(f);
+            if (st.size > 1_500_000)
+                continue;
+            text = fs.readFileSync(f, 'utf8');
+        }
+        catch {
+            continue;
+        }
+        const rel = path.relative(root, f) || path.basename(f);
+        const base = path.basename(f).toLowerCase();
+        const isEnv = base === '.env'; // .env BEKLENEN sır deposu → düşük; .env.bak vb. = SIZINTI
+        const isEnvBak = /^\.env\.|\.env\.(bak|old|orig|save|backup|[0-9])|\.env~$/.test(base) || /\.bak\d*$/.test(base);
+        const lines = text.split('\n');
+        for (let i = 0; i < lines.length; i++) {
+            const ln = lines[i];
+            if (ln.length > 4000)
+                continue;
+            const trimmed = ln.trimStart();
+            const isComment = /^(#|\/\/|\*|\/\*|<!--|--\s|;)/.test(trimmed); // yorum satırı (FP kaynağı)
+            // sırlar (yorumda da sayar — sızan anahtar önemli)
+            for (const r of SECRET_RULES2) {
+                if (r.re.test(ln) && !PLACEHOLDER.test(ln)) {
+                    const key = rel + ':secret:' + r.id + ':' + i;
+                    if (seen.has(key))
+                        continue;
+                    seen.add(key);
+                    let sev = r.sev;
+                    if (isEnv)
+                        sev = 'info'; // .env'de sır beklenir (ama .gitignore'da olmalı)
+                    else if (isEnvBak)
+                        sev = 'high'; // yedek dosyada sır = gerçek sızıntı
+                    findings.push({ severity: sev, type: 'secret', file: rel, line: i + 1,
+                        evidence: `${r.id} — ${ln.trim().slice(0, 80)}`,
+                        fix: isEnv ? '.env .gitignore\'da mı doğrula; repoya girmesin' : (isEnvBak ? 'YEDEK dosyayı SİL (sır sızdırıyor) + anahtarı ROTATE et' : 'sırrı koddan kaldır → env/secret-manager; sızan anahtarı ROTATE et'), cwe: 'CWE-798' });
+                }
+            }
+            if (isComment)
+                continue; // tehlikeli-fonksiyon dedektörü yorumda çalışmaz (FP)
+            for (const r of PATTERN_RULES) {
+                if (r.re.test(ln)) {
+                    const key = rel + ':' + r.id + ':' + i;
+                    if (seen.has(key))
+                        continue;
+                    seen.add(key);
+                    findings.push({ severity: r.sev, type: 'code', file: rel, line: i + 1, evidence: `${r.id} — ${ln.trim().slice(0, 80)}`, fix: r.fix, cwe: r.cwe });
+                }
+            }
+        }
+    }
+    _depAudit(root, findings);
+    const order = { critical: 0, high: 1, medium: 2, low: 3, info: 4 };
+    findings.sort((a, b) => order[a.severity] - order[b.severity]);
+    return { findings, filesScanned: scan.length };
+}

package/dist/commands.js

@@ -60,6 +60,7 @@ export const COMMANDS = [
     { name: '/dirscan', desc: '[seviye 3+] dizin/içerik keşfi (yönetim/api/yedek/sızıntı yolları): /dirscan <alan>' },
     { name: '/report', desc: 'son taramadan profesyonel pentest raporu üret (CVSS/etki/çözüm, dosyaya yazar)' },
     { name: '/fullscan', desc: '[seviye 3+] tam kapsamlı DETERMİNİSTİK tarama: recon+XSS+SQLi tek komutta: /fullscan <hedef>' },
+    { name: '/audit', desc: 'kaynak kod güvenlik denetimi (SAST — sır/açık/CVE, yerel): /audit [klasör]' },
     { name: '/exploit', desc: 'yetkili testte doğrulanmış PoC üret: /exploit <cve|açıklama>' },
     { name: '/harden', desc: 'savunma çıktısı üret (YARA/Sigma + yama önerisi): /harden <hedef|tehdit>' },
     { name: '/phish', desc: '[yetkili] phishing simülasyonu: pretext + e-posta şablonu: /phish <hedef|senaryo>' },

package/dist/theme.js

@@ -16,4 +16,4 @@ export const theme = {
     synType: '#a78bfa', // tip/sınıf adları, sabitler
     synProp: '#e0e0e0', // özellik/anahtar adları
 };
-export const VERSION = '1.0.190';
+export const VERSION = '1.0.191';

package/dist/tools.js

@@ -242,6 +242,20 @@ export const toolSchemas = [
             },
         },
     },
+    {
+        type: 'function',
+        function: {
+            name: 'CodeAudit',
+            description: "Static code security audit (SAST) — scan SOURCE CODE files locally for vulnerabilities. Use when the user asks to audit/review their code/project/repo for security (\"kodumu güvenlik için tara\", \"audit\", \"sast\", \"bu projeyi tara\", \"açık var mı kodda\", \"secret/sır kontrolü\"). Reads code FILES (does NOT send HTTP requests like SecurityScan). Finds: hardcoded secrets/API keys, dangerous functions (eval/exec/os.system), SQL/command injection patterns, weak crypto, insecure deserialization, vulnerable dependencies. Fully LOCAL — code never leaves the machine. Returns findings with file:line + severity + fix.",
+            parameters: {
+                type: 'object',
+                properties: {
+                    path: { type: 'string', description: 'Directory or file to audit. Default: current working directory. e.g. ".", "src/", "C:/project".' },
+                },
+                required: [],
+            },
+        },
+    },
     {
         type: 'function',
         function: {
@@ -626,7 +640,7 @@ const computerToolSchemas = [
 // çağırıp işi yapar, planı ekrana basmaz. (Gerekirse buraya yeni araç eklenir.)
 const CORE_TOOLS = new Set([
     'Bash', 'PowerShell', 'Read', 'Write', 'Edit', 'Glob', 'Grep',
-    'WebFetch', 'WebSearch', 'Sleep', 'SecurityScan',
+    'WebFetch', 'WebSearch', 'Sleep', 'SecurityScan', 'CodeAudit',
     'TaskOutput', // uzun komutları arka planda çalıştırıp bitişini yoklamak için (run_in_background)
     'AskUserQuestion', // GERİ EKLENDİ: FLAT şema (options: string[]) ile 32B temiz çağrı üretiyor
     // (test edildi). Eski degenere NESTED şemadandı ([{label,description}]). Handler string→{label}
@@ -654,6 +668,7 @@ const TOOL_META = {
     Key: { needsPermission: true, validate: (a) => (a && a.keys ? null : 'keys gerekli') },
     Scroll: { needsPermission: true, validate: (a) => (a && a.direction ? null : 'direction gerekli') },
     WebSearch: { readOnly: true, validate: (a) => (a && a.query ? null : 'query gerekli') },
+    CodeAudit: { readOnly: true, concurrencySafe: true },
     TodoWrite: { readOnly: true, validate: (a) => (a && Array.isArray(a.todos) ? null : 'todos dizisi gerekli') },
     SaveMemory: { validate: (a) => (a && a.fact && String(a.fact).trim() ? null : 'fact gerekli') },
     PowerShell: { needsPermission: true, validate: (a) => (a && a.command ? null : 'command gerekli') },
@@ -915,6 +930,41 @@ async function execOne(call, hooks) {
             return { ok: false, output: 'Tarama hatası: ' + (e?.message || e), args };
         }
     }
+    // 3.45) SAST — kaynak kod güvenlik denetimi (YEREL; kod sunucuya gitmez)
+    if (call.name === 'CodeAudit') {
+        try {
+            const { auditCode } = await import('./codeaudit.js');
+            const fsMod = await import('node:fs');
+            let root = String(args?.path || '').trim() || process.cwd();
+            // Model var-olmayan/uydurma yol verebilir → yoksa çalışma dizinine düş (boş sonuç olmasın).
+            try {
+                if (!fsMod.existsSync(root))
+                    root = process.cwd();
+            }
+            catch {
+                root = process.cwd();
+            }
+            const { findings, filesScanned } = auditCode(root);
+            let out = `Kod güvenlik denetimi (SAST) — ${root}\n${filesScanned} dosya tarandı, ${findings.length} bulgu.\n`;
+            if (!findings.length) {
+                out += 'Bilinen güvenlik deseni bulunamadı (temiz ya da kapsam dışı). NOT: SAST desen-tabanlıdır, her açığı bulmaz.';
+            }
+            else {
+                const bySev = {};
+                for (const f of findings)
+                    bySev[f.severity] = (bySev[f.severity] || 0) + 1;
+                out += 'Özet: ' + Object.entries(bySev).map(([s, n]) => `${n} ${s}`).join(' · ') + '\n';
+                out += findings.slice(0, 80).map((f) => `[${f.severity.toUpperCase()}]${f.cwe ? ' ' + f.cwe : ''} ${f.type} — ${f.file}:${f.line}\n   ${f.evidence}\n   çözüm: ${f.fix}`).join('\n');
+                if (findings.length > 80)
+                    out += `\n… +${findings.length - 80} bulgu daha`;
+            }
+            out += '\n[sast-done] Kod denetimi bitti. Bulguları kullanıcıya severity-sıralı özetle (en kritikten) + öncelikli düzeltmeler. Derin bağımlılık taraması için "npm audit"/"pip-audit" öner.';
+            return { ok: true, output: out, args };
+        }
+        catch (e) {
+            return { ok: false, output: 'Kod denetimi hatası: ' + (e?.message || e), args };
+        }
+    }
     // 3.5) Komut güvenliği (Bash/PowerShell) — cmdsec: deny→blokla, allow→izinsiz, confirm→izin akışı
     if ((call.name === 'Bash' || call.name === 'PowerShell') && args && args.command) {
         const chk = checkCommand(String(args.command), { shell: call.name === 'PowerShell' ? 'powershell' : 'bash' });
@@ -1065,6 +1115,8 @@ export function toolLabel(name, args) {
             return `Skill(${args.name})`;
         if (name === 'WebSearch')
             return `🔍 Web arandı: ${String(args.query).slice(0, 50)}`;
+        if (name === 'CodeAudit')
+            return `🛡️ Kod denetimi (SAST): ${String(args.path || '.').slice(0, 50)}`;
         if (name === 'TodoWrite')
             return `TodoWrite(${(args.todos || []).length} öğe)`;
         if (name === 'PowerShell')

package/dist/tui.js

@@ -836,6 +836,12 @@ export async function runTui() {
                     quit();
                     return;
                 }
+                // /audit — kaynak kod güvenlik denetimi (SAST, yerel); modele CodeAudit çağırt
+                if (tok === '/audit') {
+                    const a = v.slice(tok.length).trim() || '.';
+                    runTurn(`CodeAudit aracıyla şu yolu kaynak kod güvenliği için tara (SAST): ${a}. Bulguları severity-sıralı özetle + öncelikli düzeltmeler.`, v);
+                    return;
+                }
                 // /exploit · /harden — aktif tarama değil, model-üretim (PoC / YARA-Sigma) → çerçeveli istemle modele
                 if (tok === '/exploit') {
                     const a = v.slice(tok.length).trim();

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "wormclaude",
-  "version": "1.0.190",
+  "version": "1.0.191",
   "description": "WormClaude CLI - uncensored security+code assistant (ink TUI, Claude-style)",
   "type": "module",
   "bin": {