v0.0.73: фиксы по код-ревью Соннета — SSRF, path traversal, слабый SID, proc_error, zip-бомба, self-XSS

site/routes/api_bp.py

@@ -34,6 +34,24 @@ log = logging.getLogger("routes.api_bp")
 PULL_RETRIES = 3
 PULL_RETRY_DELAY = 2  # секунды между попытками
 
+# Доверенный префикс ВМ-буфера — валидация URL при pull (защита от SSRF)
+VM_UPLOAD_PREFIX = "https://contracts.kube5s.ru/drhider-upload/"
+
+
+def _safe_name(name: str) -> str:
+    """Санитизировать имя файла: защита от path traversal, сохраняя подпапки.
+
+    Запрещает '..' и абсолютные пути; нормализует слэши. Возвращает "" если
+    имя пустое или небезопасное.
+    """
+    if not name:
+        return ""
+    name = name.replace("\\", "/")
+    parts = [p for p in name.split("/") if p and p != "."]
+    if not parts or any(p == ".." for p in parts):
+        return ""
+    return "/".join(parts)
+
 
 def _disconnect_exceptions():
     """Исключения, означающие отключение клиента SSE."""
@@ -54,16 +72,17 @@ def upload():
     added = 0
     had_unnamed = False
     for f in uploaded:
-        if not f.filename:
+        name = _safe_name(f.filename)
+        if not name:
             had_unnamed = True
             continue
         data = f.read()
-        log.info("upload: sid=%s file=%r size=%d", sid, f.filename, len(data))
+        log.info("upload: sid=%s file=%r size=%d", sid, name, len(data))
         if len(data) > MAX_FILE_BYTES:
             log.warning("upload: file exceeds %dMB, skipped sid=%s file=%r size=%d",
-                        MAX_FILE_BYTES // (1024 * 1024), sid, f.filename, len(data))
+                        MAX_FILE_BYTES // (1024 * 1024), sid, name, len(data))
             continue
-        if not add_file(sid, f.filename, data):
+        if not add_file(sid, name, data):
             log.warning("upload: session not found/limit, sid=%s file=%r", sid, f.filename)
             return jsonify({"ok": False, "error": "Session not found"}), 404
         added += 1
@@ -96,10 +115,14 @@ def upload_refs():
     try:
         with httpx.Client(timeout=120, follow_redirects=True) as client:
             for ref in refs:
-                name = ref.get("name")
+                name = _safe_name(ref.get("name") or "")
                 url = ref.get("url")
                 if not name or not url:
                     continue
+                # SSRF-защита: тянуть можно ТОЛЬКО с доверенного ВМ-буфера
+                if not url.startswith(VM_UPLOAD_PREFIX):
+                    log.warning("upload_refs: unsafe URL, skip sid=%s url=%r", sid, url)
+                    continue
                 # Лимит на один файл (50 МБ): сверх лимита — пропускаем (не участвует)
                 if (ref.get("size") or 0) > MAX_FILE_BYTES:
                     log.warning("upload_refs: file exceeds %dMB, skip sid=%s file=%r size=%s",
@@ -381,7 +404,7 @@ def process_stream(sid):
                     _, msg = evt
                     log.error("process_stream: error event sid=%s msg=%r", sid, msg)
                     try:
-                        yield f"event: error\ndata: {json.dumps({'error': msg})}\n\n"
+                        yield f"event: proc_error\ndata: {json.dumps({'error': msg})}\n\n"
                     except _disconnect_exceptions() as e:
                         log.warning("process_stream: disconnect on error sid=%s err=%r", sid, e)
                         return