DIS-005: Path-Traversal-Check in /new-agent #25

Merged

dev merged 2 commits from phase-0/path-traversal-check into main

2026-04-09 09:44:54 +00:00

dev commented

2026-04-09 09:20:16 +00:00

Owner

Summary

src/commands/new-agent.ts: validateAgentName() exportiert — wirft bei leerem String oder wenn path.resolve(root, name) außerhalb von root liegt. Saubere Discord-Fehlermeldung statt Crash.
tests/unit/path-traversal.test.ts (neu): 6 Tests — ../etc, ../, leer, a/../b (bleibt in root → erlaubt, dokumentiert), gültige Namen
Hinweis: a/../b löst zu root/b auf → bleibt innerhalb root, wird korrekt erlaubt

Closes

Closes #6

Test Plan

npm run build grün
npm test — 25/25 Tests grün

Breaking Changes

Nein.

Reviewer-Checkliste

Containment-Check via path.resolve aktiv
Fehlermeldung geht als Discord-Antwort zurück (kein Crash)
Tests decken Traversal-Cases ab

## Summary - `src/commands/new-agent.ts`: `validateAgentName()` exportiert — wirft bei leerem String oder wenn `path.resolve(root, name)` außerhalb von root liegt. Saubere Discord-Fehlermeldung statt Crash. - `tests/unit/path-traversal.test.ts` (neu): 6 Tests — `../etc`, `../`, leer, `a/../b` (bleibt in root → erlaubt, dokumentiert), gültige Namen - Hinweis: `a/../b` löst zu `root/b` auf → bleibt innerhalb root, wird korrekt erlaubt ## Closes Closes #6 ## Test Plan - [x] `npm run build` grün - [x] `npm test` — 25/25 Tests grün ## Breaking Changes Nein. ## Reviewer-Checkliste - [x] Containment-Check via path.resolve aktiv - [x] Fehlermeldung geht als Discord-Antwort zurück (kein Crash) - [x] Tests decken Traversal-Cases ab

dev added the

labels 2026-04-09 09:20:16 +00:00

dev added 1 commit 2026-04-09 09:20:17 +00:00

fix(new-agent): add path traversal containment check b4cc00e93c

Extracts validateAgentName() with path.resolve containment guard after
regex validation; returns clean ephemeral Discord reply on violation.

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

dev added 1 commit 2026-04-09 09:43:43 +00:00