zames_pro 2.73.9 → 2.73.10

package/CHANGELOG.md

@@ -7,6 +7,12 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+## [2.73.10] - 2026-10-12
+
+### Fixed
+
+- **tools:** reject invalid base64 instead of writing garbage
+
 ## [2.73.9] - 2026-10-12
 
 ### Fixed

package/README.md

@@ -467,6 +467,32 @@ Their tools show up in the agent as `server__tool` (e.g.
 A server that fails to connect is skipped with a warning and never breaks the
 agent.
 
+### Recommended servers (verified)
+
+A few small, high-value servers tested end to end with zames (both the
+DeepSeek and Qwen backends):
+
+- **Context7** (`@upstash/context7-mcp`) — fetches CURRENT, version-specific
+documentation for a library before the agent writes code, instead of relying
+on a stale training snapshot. Tools: `resolve_library_id` then `query_docs`.
+Verified live on DeepSeek AND Qwen: the agent called both tools and got the
+current Zod API. This is the one to add first.
+
+  ```json
+  { "context7": { "command": "npx", "args": ["-y", "@upstash/context7-mcp@latest"] } }
+  ```
+
+- **Sequential Thinking** (`@modelcontextprotocol/server-sequential-thinking`)
+— one `sequentialthinking` tool that gives the model an explicit, revisable
+plan before it acts; useful for long multi-step tasks.
+
+- **Memory** (`@modelcontextprotocol/server-memory`) — a local knowledge graph
+(9 tools) for durable facts across chats. NOTE: zames already has `MEMORY.md`
++ `AGENTS.md`; add this only if you want a queryable graph.
+
+Keep the stack SMALL: every server loads its tool definitions into the model's
+context. Add one when you feel its absence, not before.
+
 ## Configuration
 
 Global config: `~/.zames/config.json`
@@ -1010,6 +1036,32 @@ MCP-браузер и браузер агента подерутся за оди
 Сервер, который не смог подключиться, пропускается с предупреждением и
 никогда не роняет агента.
 
+### Рекомендованные серверы (проверены)
+
+Несколько небольших полезных серверов, протестированных вживую с zames
+(на обоих бэкендах — DeepSeek и Qwen):
+
+- **Context7** (`@upstash/context7-mcp`) — подтягивает АКТУАЛЬНУЮ
+документацию библиотеки (для конкретной версии) до того, как агент пишет код,
+вместо устаревших знаний из обучения. Инструменты: `resolve_library_id`, затем
+`query_docs`. Проверено вживую на DeepSeek И Qwen: агент вызвал оба инструмента
+и получил актуальный API Zod. Именно его стоит подключить первым.
+
+  ```json
+  { "context7": { "command": "npx", "args": ["-y", "@upstash/context7-mcp@latest"] } }
+  ```
+
+- **Sequential Thinking** (`@modelcontextprotocol/server-sequential-thinking`)
+— один инструмент `sequentialthinking`, дающий модели явный пересматриваемый
+план перед действием; полезно для длинных многошаговых задач.
+
+- **Memory** (`@modelcontextprotocol/server-memory`) — локальный граф знаний
+(9 инструментов) для долговременных фактов между чатами. ВНИМАНИЕ: у zames уже
+есть `MEMORY.md` + `AGENTS.md`; подключайте, только если нужен граф с запросами.
+
+Держите набор МАЛЕНЬКИМ: каждый сервер грузит описания своих инструментов в
+контекст модели. Добавляйте, когда почувствовали нехватку, а не заранее.
+
 ## Конфигурация
 
 Глобальный конфиг: `~/.zames/config.json`

package/dist/extraTools.js

@@ -12,7 +12,15 @@ import { safePath } from './sandbox.js';
 const NL = String.fromCharCode(10);
 function decodeContent(content, contentBase64) {
     if (typeof contentBase64 === 'string' && contentBase64.length) {
-        return Buffer.from(contentBase64, 'base64').toString('utf-8');
+        // Reject undecodable base64: Buffer.from(..., 'base64') silently drops
+        // invalid characters and returns garbage, which would patch with corrupt
+        // text and no error (same guard as tools.ts).
+        const compact = contentBase64.replace(/\s+/g, '');
+        if (!/^[A-Za-z0-9+/]*={0,2}$/.test(compact)) {
+            throw new Error('base64 argument is not valid (expected only A-Za-z0-9+/=). ' +
+                'Re-send as plain text or as clean base64.');
+        }
+        return Buffer.from(compact, 'base64').toString('utf-8');
     }
     return String(content ?? '');
 }

package/dist/tools.js

@@ -19,7 +19,16 @@ export function createTools(workdir, { undo, todos, readOnly = false, subagents
     // subject to corruption.
     const decodeContent = (content, contentBase64) => {
         if (typeof contentBase64 === 'string' && contentBase64.length) {
-            return Buffer.from(contentBase64, 'base64').toString('utf-8');
+            // Reject a base64 string that is not decodable: Buffer.from(..., 'base64')
+            // SILENTLY drops invalid characters and returns garbage (verified), which
+            // would write a corrupt file with no error. The alphabet check catches a
+            // truncated/garbled payload early with a clear message.
+            const compact = contentBase64.replace(/\s+/g, '');
+            if (!/^[A-Za-z0-9+/]*={0,2}$/.test(compact)) {
+                throw new Error('content_base64 is not valid base64 (expected only A-Za-z0-9+/=). ' +
+                    'Re-send the content as plain `content` or as clean base64.');
+            }
+            return Buffer.from(compact, 'base64').toString('utf-8');
         }
         return String(content ?? '');
     };

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "zames_pro",
-  "version": "2.73.9",
+  "version": "2.73.10",
   "description": "Terminal coding agent that drives a real browser to chat with DeepSeek, Qwen and other web LLMs — no API key required. Reads and edits files, runs commands, commits to git, like Claude Code / Codex CLI.",
   "type": "module",
   "bin": {