v0.0.73: фиксы по код-ревью Соннета — SSRF, path traversal, слабый SID, proc_error, zip-бомба, self-XSS

site/app.py

@@ -21,7 +21,7 @@ if _sys_path_root not in sys.path:
     sys.path.insert(0, _sys_path_root)
 
 # Версия приложения (меняется при изменениях)
-VERSION = "0.0.72"
+VERSION = "0.0.73"
 
 
 def setup_logging():

site/routes/api_bp.py

@@ -34,6 +34,24 @@ log = logging.getLogger("routes.api_bp")
 PULL_RETRIES = 3
 PULL_RETRY_DELAY = 2  # секунды между попытками
 
+# Доверенный префикс ВМ-буфера — валидация URL при pull (защита от SSRF)
+VM_UPLOAD_PREFIX = "https://contracts.kube5s.ru/drhider-upload/"
+
+
+def _safe_name(name: str) -> str:
+    """Санитизировать имя файла: защита от path traversal, сохраняя подпапки.
+
+    Запрещает '..' и абсолютные пути; нормализует слэши. Возвращает "" если
+    имя пустое или небезопасное.
+    """
+    if not name:
+        return ""
+    name = name.replace("\\", "/")
+    parts = [p for p in name.split("/") if p and p != "."]
+    if not parts or any(p == ".." for p in parts):
+        return ""
+    return "/".join(parts)
+
 
 def _disconnect_exceptions():
     """Исключения, означающие отключение клиента SSE."""
@@ -54,16 +72,17 @@ def upload():
     added = 0
     had_unnamed = False
     for f in uploaded:
-        if not f.filename:
+        name = _safe_name(f.filename)
+        if not name:
             had_unnamed = True
             continue
         data = f.read()
-        log.info("upload: sid=%s file=%r size=%d", sid, f.filename, len(data))
+        log.info("upload: sid=%s file=%r size=%d", sid, name, len(data))
         if len(data) > MAX_FILE_BYTES:
             log.warning("upload: file exceeds %dMB, skipped sid=%s file=%r size=%d",
-                        MAX_FILE_BYTES // (1024 * 1024), sid, f.filename, len(data))
+                        MAX_FILE_BYTES // (1024 * 1024), sid, name, len(data))
             continue
-        if not add_file(sid, f.filename, data):
+        if not add_file(sid, name, data):
             log.warning("upload: session not found/limit, sid=%s file=%r", sid, f.filename)
             return jsonify({"ok": False, "error": "Session not found"}), 404
         added += 1
@@ -96,10 +115,14 @@ def upload_refs():
     try:
         with httpx.Client(timeout=120, follow_redirects=True) as client:
             for ref in refs:
-                name = ref.get("name")
+                name = _safe_name(ref.get("name") or "")
                 url = ref.get("url")
                 if not name or not url:
                     continue
+                # SSRF-защита: тянуть можно ТОЛЬКО с доверенного ВМ-буфера
+                if not url.startswith(VM_UPLOAD_PREFIX):
+                    log.warning("upload_refs: unsafe URL, skip sid=%s url=%r", sid, url)
+                    continue
                 # Лимит на один файл (50 МБ): сверх лимита — пропускаем (не участвует)
                 if (ref.get("size") or 0) > MAX_FILE_BYTES:
                     log.warning("upload_refs: file exceeds %dMB, skip sid=%s file=%r size=%s",
@@ -381,7 +404,7 @@ def process_stream(sid):
                     _, msg = evt
                     log.error("process_stream: error event sid=%s msg=%r", sid, msg)
                     try:
-                        yield f"event: error\ndata: {json.dumps({'error': msg})}\n\n"
+                        yield f"event: proc_error\ndata: {json.dumps({'error': msg})}\n\n"
                     except _disconnect_exceptions() as e:
                         log.warning("process_stream: disconnect on error sid=%s err=%r", sid, e)
                         return

site/session.py

@@ -104,7 +104,7 @@ def create_session() -> str:
     Returns:
         Уникальный идентификатор сессии (UUID).
     """
-    sid = uuid.uuid4().hex[:12]
+    sid = uuid.uuid4().hex
     with _lock:
         _sessions[sid] = {
             "files": [],

site/templates/index.html

@@ -280,6 +280,7 @@ function fmtSec(s) {
 // Эмпирическая оценка времени обработки файла: сек/МБ (ориентировочно, до старта)
 const EST_MB_SEC = 12;
 function estForFile(f) { return f ? Math.max(1, Math.round(f.size / 1048576 * EST_MB_SEC)) : 0; }
+function esc(s) { return String(s).replace(/[&<>"']/g, c => ({'&':'&amp;','<':'&lt;','>':'&gt;','"':'&quot;',"'":'&#39;'}[c])); }
 
 function rr() {
   if (procPhase === 'processing') { renderProcTable(); return; }
@@ -290,7 +291,7 @@ function rr() {
       const rowCls = over ? ' class="row-over"' : '';
       const stTxt = over ? '<span style="color:#c0392b;">🔥 не учитывается</span>'
         : '<span style="color:#7d3c98;">~' + fmtSec(estForFile(f)) + '</span>';
-      return '<tr id="row-' + i + '"' + rowCls + '><td class="name-cell">' + f.name + '</td><td class="num-cell">' + fs(f.size) + '</td><td class="num-cell" id="st-' + i + '" style="font-size:12px;">' + stTxt + '</td><td><button class="remove-btn" onclick="rm(' + i + ')">✕</button></td></tr>';
+      return '<tr id="row-' + i + '"' + rowCls + '><td class="name-cell">' + esc(f.name) + '</td><td class="num-cell">' + fs(f.size) + '</td><td class="num-cell" id="st-' + i + '" style="font-size:12px;">' + stTxt + '</td><td><button class="remove-btn" onclick="rm(' + i + ')">✕</button></td></tr>';
     }).join('');
   }
   const overCount = sf.filter(f => overNames.has(f.name)).length;
@@ -307,7 +308,7 @@ function procRow(i, stTxt) {
   const over = overNames.has(f.name);
   const cls = (procState[i] && procState[i].st === 'current') ? ' class="row-current"'
             : (over ? ' class="row-over"' : '');
-  return '<tr' + cls + '><td class="name-cell">' + f.name + '</td><td class="num-cell">' + fs(f.size) + '</td><td class="num-cell" style="font-size:12px;">' + stTxt + '</td><td></td></tr>';
+  return '<tr' + cls + '><td class="name-cell">' + esc(f.name) + '</td><td class="num-cell">' + fs(f.size) + '</td><td class="num-cell" style="font-size:12px;">' + stTxt + '</td><td></td></tr>';
 }
 
 function renderProcTable() {
@@ -936,6 +937,14 @@ async function uploadFiles() {
         document.getElementById('newSessionBtn').style.display = 'inline-block';
         resolve();
       });
+      activeES.addEventListener('proc_error', function(e) {
+        const d = JSON.parse(e.data);
+        finishProcUI();
+        setBusy(false);
+        st.className = 'status error';
+        st.textContent = 'Ошибка обработки: ' + (d.error || 'неизвестная ошибка');
+        resolve();
+      });
       activeES.onerror = function() {
         finishProcUI();
         reject(new Error('SSE connection failed'));