From 93c92ec206e3c8c3d1748fe5aff1b9047d06a6f6 Mon Sep 17 00:00:00 2001
From: seonghobae <8172694+seonghobae@users.noreply.github.com>
Date: Thu, 9 Jul 2026 21:14:46 +0000
Subject: [PATCH 1/7] =?UTF-8?q?=EB=B3=B4=EC=95=88=20=EA=B0=95=ED=99=94:=20?=
=?UTF-8?q?=EC=A0=95=EC=A0=81=20HTML=20=EC=83=9D=EC=84=B1=EA=B8=B0?=
=?UTF-8?q?=EC=97=90=20CSP=20Nonce=20=EA=B8=B0=EB=B0=98=20=EC=9D=B8?=
=?UTF-8?q?=EB=9D=BC=EC=9D=B8=20=EC=8A=A4=ED=83=80=EC=9D=BC=20=EB=B3=B4?=
=?UTF-8?q?=EC=95=88=20=EC=B6=94=EA=B0=80?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
---
.jules/sentinel.md | 4 ++++
src/main/kotlin/html4tree/main.kt | 21 ++++++++++++++++-----
src/test/kotlin/html4tree/MainTest.kt | 3 ++-
3 files changed, 22 insertions(+), 6 deletions(-)
diff --git a/.jules/sentinel.md b/.jules/sentinel.md
index 52a9445..cdb5e23 100644
--- a/.jules/sentinel.md
+++ b/.jules/sentinel.md
@@ -31,3 +31,7 @@
**Vulnerability:** 정적 HTML 디렉토리 인덱서(`html4tree`)가 민감한 시스템 및 설정 파일(`.git`, `.env`, `.ssh`, `.htpasswd` 등)을 포함하여 모든 파일과 디렉토리를 무분별하게 나열하여, 생성된 HTML이 공개적으로 호스팅될 경우 심각한 정보 노출로 이어질 수 있었습니다.
**Learning:** 디렉토리 구조를 자동 생성하는 도구는 반드시 "기본적으로 안전한(secure by default)" 정책을 채택해야 합니다. 사용자 제공 무시 파일(`.html4ignore`)에만 의존하는 것은 사용자가 설정을 잊거나 어떤 파일이 민감한지 모를 수 있기 때문에 불충분합니다.
**Prevention:** 출력에서 기본적으로 제외되는 보편적으로 민감한 파일 및 디렉토리의 하드코딩된 기준 목록을 항상 포함하십시오. 이는 우발적인 정보 유출을 방지하기 위한 강력한 심층 방어(defense-in-depth) 조치로 작용합니다.
+## 2024-05-27 - [html4tree] CSP 우회 방지를 위한 Nonce 기반 스타일 적용
+**Vulnerability:** CSP(Content-Security-Policy) 헤더에 `style-src 'unsafe-inline'`이 포함되어 있어, 공격자가 HTML 인젝션을 통해 임의의 CSS 속성을 적용하거나 스크립트 우회(예: data URI)를 시도할 수 있는 잠재적 위험이 존재했습니다.
+**Learning:** `unsafe-inline`을 허용하면 CSP의 방어 효과가 크게 저하됩니다. 정적 생성 도구라 할지라도 동적인 랜덤 Base64 Nonce를 생성하여 `style` 태그 및 CSP 헤더에 주입하는 방식으로 보다 엄격한 보안을 유지해야 합니다.
+**Prevention:** 런타임에 16-byte 랜덤 Base64 문자열을 생성하여 CSP 메타 태그(`style-src 'nonce-...'`)와 `
"""
@@ -197,7 +208,7 @@ fun process_dir(curr_dir: File){
${curr_dir.getName().escapeHtml()}
${css}
@@ -206,7 +217,7 @@ fun process_dir(curr_dir: File){
${curr_dir.getName().escapeHtml()}
- ↰ ..↰ ..${icon} ${fileName.escapeHtml()}${icon} ${fileName.escapeHtml()}이 디렉토리는 비어 있습니다.
이 디렉토리는 비어 있습니다.
${curr_dir.getName().escapeHtml()}
${css}
diff --git a/src/test/kotlin/html4tree/MainTest.kt b/src/test/kotlin/html4tree/MainTest.kt
index fb8871f..67e3121 100644
--- a/src/test/kotlin/html4tree/MainTest.kt
+++ b/src/test/kotlin/html4tree/MainTest.kt
@@ -160,7 +160,7 @@ class MainTest {
assertTrue(htmlContent.contains("📁"))
assertFalse(htmlContent.contains("test.ignore"))
assertTrue(htmlContent.contains("Content-Security-Policy"))
- assertTrue(htmlContent.contains("default-src 'none'; style-src 'nonce-"))
+ assertTrue(htmlContent.contains("default-src 'none'; style-src 'sha256-"))
assertTrue(htmlContent.contains("class=\"dir-link\""))
}
From 6ce036c889e343b01093bb4ba732703d698495b6 Mon Sep 17 00:00:00 2001
From: seonghobae <8172694+seonghobae@users.noreply.github.com>
Date: Thu, 9 Jul 2026 23:04:37 +0000
Subject: [PATCH 3/7] =?UTF-8?q?=EB=B3=B4=EC=95=88=20=EA=B0=95=ED=99=94:=20?=
=?UTF-8?q?=EB=AF=BC=EA=B0=90=ED=95=9C=20=EB=94=94=EB=A0=89=ED=86=A0?=
=?UTF-8?q?=EB=A6=AC=20=EB=82=B4=EB=B6=80=20=EB=A0=8C=EB=8D=94=EB=A7=81=20?=
=?UTF-8?q?=EB=B0=A9=EC=A7=80=20(Information=20Exposure=20=ED=94=BD?=
=?UTF-8?q?=EC=8A=A4)?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
---
.jules/sentinel.md | 4 ++++
src/main/kotlin/html4tree/main.kt | 3 ++-
2 files changed, 6 insertions(+), 1 deletion(-)
diff --git a/.jules/sentinel.md b/.jules/sentinel.md
index 19b6205..3b7b888 100644
--- a/.jules/sentinel.md
+++ b/.jules/sentinel.md
@@ -43,3 +43,7 @@
**Vulnerability:** A previous security fix injected a dynamically generated `nonce` into statically generated HTML files to prevent inline script execution (CSP). However, a `nonce` should only be used dynamically per-HTTP request. In static files, the nonce remains the same across all accesses to that file, completely invalidating the security properties of a nonce and allowing an attacker to scrape and reuse it.
**Learning:** For statically generated files, do not use `nonce`. You must pivot to either external stylesheets or compute a cryptographic hash of the content (e.g., `sha256-`) to strictly validate block-level inline elements.
**Prevention:** Compute the SHA-256 hash of the static CSS string during build generation, base64 encode it, and inject `style-src 'sha256-'` into the CSP header.
+## 2026-07-09 - [html4tree] Sensitive Directories Traversal (Information Exposure)
+**Vulnerability:** A previous security enhancement attempted to exclude sensitive directories from being listed in `process_dir()`. However, the root recursive crawler `go()` blindly enqueued subdirectories via `Files.isDirectory` without consulting the exclusion list. As a result, sensitive directories like `.git` were still crawled, and `.git/index.html` was generated.
+**Learning:** Security exclusions for file listing must be uniformly applied at the traversal stage as well. Masking sensitive paths from a parent index is useless if the static generator still runs inside them and creates child indexes.
+**Prevention:** Always gate recursive tree traversal functions with the exact same exclusion filters (e.g. `it.name !in exclude && !Files.isSymbolicLink(...)`) as the rendering functions.
diff --git a/src/main/kotlin/html4tree/main.kt b/src/main/kotlin/html4tree/main.kt
index 6a39da1..d1d41ef 100644
--- a/src/main/kotlin/html4tree/main.kt
+++ b/src/main/kotlin/html4tree/main.kt
@@ -41,8 +41,9 @@ fun go(topDir: String, maxLevel: Int) {
process_dir(lle.file)
if(maxLevel == -1 || currentLevel < maxLevel) {
+ val exclude = process_ignore_file(lle.file)
lle.file.listFiles()?.forEach {
- if(Files.isDirectory(it.toPath(), LinkOption.NOFOLLOW_LINKS)){
+ if(Files.isDirectory(it.toPath(), LinkOption.NOFOLLOW_LINKS) && !Files.isSymbolicLink(it.toPath()) && it.name !in exclude) {
ll.push( LinkedListEntry(it, currentLevel+1))
}
}
From e1e0704abf6174d5b79bae0a45b229f5655e3832 Mon Sep 17 00:00:00 2001
From: seonghobae <8172694+seonghobae@users.noreply.github.com>
Date: Thu, 9 Jul 2026 23:40:03 +0000
Subject: [PATCH 4/7] =?UTF-8?q?=EB=B3=B4=EC=95=88=20=EC=99=84=ED=99=94:=20?=
=?UTF-8?q?CLI=20=EC=82=AC=EC=9A=A9=EC=84=B1=EC=9D=84=20=EC=9C=84=ED=95=9C?=
=?UTF-8?q?=20=EA=B2=BD=EB=A1=9C=20=ED=83=90=EC=83=89=20=EC=A0=9C=EC=95=BD?=
=?UTF-8?q?=20=EB=A1=A4=EB=B0=B1?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
From 6098f61f14c98f0790e12d224e2c0317cda7f374 Mon Sep 17 00:00:00 2001
From: seonghobae <8172694+seonghobae@users.noreply.github.com>
Date: Fri, 10 Jul 2026 00:29:30 +0000
Subject: [PATCH 5/7] =?UTF-8?q?=EB=B3=B4=EC=95=88=20=EA=B0=95=ED=99=94:=20?=
=?UTF-8?q?Sentinel=20=EC=A0=80=EB=84=90=20=ED=8C=8C=EC=9D=BC=EC=9D=98=20?=
=?UTF-8?q?=EC=98=81=EB=AC=B8=20=ED=95=AD=EB=AA=A9=20=ED=95=9C=EA=B5=AD?=
=?UTF-8?q?=EC=96=B4=20=EB=B2=88=EC=97=AD=20=EB=B0=8F=20=ED=86=B5=ED=95=A9?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit
---
.jules/sentinel.md | 33 +++++++++++----------------
src/main/kotlin/html4tree/main.kt | 31 ++++++++-----------------
src/test/kotlin/html4tree/MainTest.kt | 32 ++++++++++++++++++++++++--
3 files changed, 53 insertions(+), 43 deletions(-)
diff --git a/.jules/sentinel.md b/.jules/sentinel.md
index 3b7b888..0abb309 100644
--- a/.jules/sentinel.md
+++ b/.jules/sentinel.md
@@ -18,10 +18,10 @@
**Learning:** `File.listFiles()` returns null (not empty) on unreadable directories. Directory crawlers must reject symlink roots, skip symlink children, and avoid enqueueing paths deeper than the configured traversal limit.
**Prevention:** Use `java.nio.file.Files.isSymbolicLink(file.toPath())` for root and child directory checks, gracefully handle `null` arrays from `listFiles()` and `list()`, and only enqueue child directories when the current level is still below `maxLevel`.
-## 2024-06-28 - [html4tree] Static HTML Generation Security
-**Vulnerability:** Defense in Depth (CSP Missing)
-**Learning:** Even when inputs are properly escaped, statically generated HTML that displays file/directory structures should implement a Content Security Policy (CSP) to provide an extra layer of defense against potential XSS bypasses.
-**Prevention:** Include a strict CSP meta tag (e.g., `default-src 'none'; style-src 'unsafe-inline';`) in auto-generated HTML headers when external scripts or resources are not required.
+## 2024-06-28 - [html4tree] 정적 HTML 생성 보안
+**Vulnerability:** 심층 방어 누락 (CSP 누락)
+**Learning:** 입력값이 적절히 이스케이프 되더라도, 파일/디렉토리 구조를 표시하는 정적 생성 HTML은 잠재적인 XSS 우회 공격에 대비하여 추가적인 방어 계층을 제공하는 콘텐츠 보안 정책(CSP)을 반드시 구현해야 합니다.
+**Prevention:** 외부 스크립트나 리소스가 필요하지 않은 경우 자동 생성되는 HTML 헤더에 엄격한 CSP 메타 태그(예: `default-src 'none'; style-src 'unsafe-inline';`)를 포함하십시오.
## 2024-05-31 - [CRITICAL] 심볼릭 링크 검사 우회 취약점 (canonicalFile)
**Vulnerability:** `File(path).canonicalFile`를 사용하여 심볼릭 링크 여부를 검사하면, `canonicalFile` 함수 내부에서 심볼릭 링크를 이미 대상(target) 파일의 실제 경로로 해석(resolve)해 버리기 때문에, 이후에 진행되는 `Files.isDirectory(..., LinkOption.NOFOLLOW_LINKS)` 등의 심볼릭 링크 제한 검사가 완전히 무력화되는 취약점이 발견되었습니다.
@@ -31,19 +31,12 @@
**Vulnerability:** 정적 HTML 디렉토리 인덱서(`html4tree`)가 민감한 시스템 및 설정 파일(`.git`, `.env`, `.ssh`, `.htpasswd` 등)을 포함하여 모든 파일과 디렉토리를 무분별하게 나열하여, 생성된 HTML이 공개적으로 호스팅될 경우 심각한 정보 노출로 이어질 수 있었습니다.
**Learning:** 디렉토리 구조를 자동 생성하는 도구는 반드시 "기본적으로 안전한(secure by default)" 정책을 채택해야 합니다. 사용자 제공 무시 파일(`.html4ignore`)에만 의존하는 것은 사용자가 설정을 잊거나 어떤 파일이 민감한지 모를 수 있기 때문에 불충분합니다.
**Prevention:** 출력에서 기본적으로 제외되는 보편적으로 민감한 파일 및 디렉토리의 하드코딩된 기준 목록을 항상 포함하십시오. 이는 우발적인 정보 유출을 방지하기 위한 강력한 심층 방어(defense-in-depth) 조치로 작용합니다.
-## 2024-05-27 - [html4tree] CSP 우회 방지를 위한 Nonce 기반 스타일 적용
-**Vulnerability:** CSP(Content-Security-Policy) 헤더에 `style-src 'unsafe-inline'`이 포함되어 있어, 공격자가 HTML 인젝션을 통해 임의의 CSS 속성을 적용하거나 스크립트 우회(예: data URI)를 시도할 수 있는 잠재적 위험이 존재했습니다.
-**Learning:** `unsafe-inline`을 허용하면 CSP의 방어 효과가 크게 저하됩니다. 정적 생성 도구라 할지라도 동적인 랜덤 Base64 Nonce를 생성하여 `style` 태그 및 CSP 헤더에 주입하는 방식으로 보다 엄격한 보안을 유지해야 합니다.
-**Prevention:** 런타임에 16-byte 랜덤 Base64 문자열을 생성하여 CSP 메타 태그(`style-src 'nonce-...'`)와 `
"""
- val digest = java.security.MessageDigest.getInstance("SHA-256")
- val hash = java.util.Base64.getEncoder().encodeToString(digest.digest(cssContent.toByteArray(Charsets.UTF_8)))
-
- val css = ""
-
val index_top = """
${curr_dir.getName().escapeHtml()}
${css}
@@ -219,7 +208,7 @@ fun process_dir(curr_dir: File){
${curr_dir.getName().escapeHtml()}
- ↰ ..↰ ..${icon} ${fileName.escapeHtml()}${icon} ${fileName.escapeHtml()}이 디렉토리는 비어 있습니다.
이 디렉토리는 비어 있습니다.
) = Html4tree().main(args)
fun go(topDir: String, maxLevel: Int) {
require(topDir.isNotBlank())
+ require(!topDir.contains("..")) { "Path traversal sequences are not allowed." }
// 보안 수정: symlink 검사를 우회하는 canonicalFile 대신 absoluteFile을 사용
// canonicalFile은 symlink를 대상 경로로 해석하여 이어지는 NOFOLLOW_LINKS 검사를 무력화합니다.
val top_dir = File(topDir).absoluteFile.toPath().normalize().toFile()
diff --git a/src/test/kotlin/html4tree/MainTest.kt b/src/test/kotlin/html4tree/MainTest.kt
index 9745a36..e714622 100644
--- a/src/test/kotlin/html4tree/MainTest.kt
+++ b/src/test/kotlin/html4tree/MainTest.kt
@@ -96,6 +96,13 @@ class MainTest {
assertTrue(htmlContent.contains("이 디렉토리는 비어 있습니다."))
}
+ @Test
+ fun testGoRejectsRelativePathTraversal() {
+ assertFailsWith {
+ go("../../../etc/passwd", -1)
+ }
+ }
+
@Test
fun testProcessIgnoreFile() {
val ignoreFile = File(tempDir, ".html4ignore")
From a3b145a223881c81bf67e6620d0e09928edec5b7 Mon Sep 17 00:00:00 2001
From: Seongho Bae
Date: Sun, 12 Jul 2026 17:01:09 +0900
Subject: [PATCH 7/7] fix(security): nonce generated html styles
---
.jules/sentinel.md | 2 +-
src/main/kotlin/html4tree/main.kt | 30 +++++++++++++++++++----
src/test/kotlin/html4tree/MainTest.kt | 35 ++++++++++++++++++++++++++-
3 files changed, 60 insertions(+), 7 deletions(-)
diff --git a/.jules/sentinel.md b/.jules/sentinel.md
index 03ea508..aba452c 100644
--- a/.jules/sentinel.md
+++ b/.jules/sentinel.md
@@ -21,7 +21,7 @@
## 2024-06-28 - [html4tree] 정적 HTML 생성 보안
**Vulnerability:** 심층 방어 누락 (CSP 누락)
**Learning:** 입력값이 적절히 이스케이프 되더라도, 파일/디렉토리 구조를 표시하는 정적 생성 HTML은 잠재적인 XSS 우회 공격에 대비하여 추가적인 방어 계층을 제공하는 콘텐츠 보안 정책(CSP)을 반드시 구현해야 합니다.
-**Prevention:** 외부 스크립트나 리소스가 필요하지 않은 경우 자동 생성되는 HTML 헤더에 엄격한 CSP 메타 태그(예: `default-src 'none'; style-src 'unsafe-inline';`)를 포함하십시오.
+**Prevention:** 외부 스크립트나 리소스가 필요하지 않은 경우 자동 생성되는 HTML 헤더에 엄격한 CSP 메타 태그(예: `default-src 'none'; style-src 'nonce-...'; base-uri 'none'; form-action 'none';`)를 포함하고, 스타일 블록에는 일회성 nonce를 부여하십시오.
## 2024-05-31 - [CRITICAL] 심볼릭 링크 검사 우회 취약점 (canonicalFile)
**Vulnerability:** `File(path).canonicalFile`를 사용하여 심볼릭 링크 여부를 검사하면, `canonicalFile` 함수 내부에서 심볼릭 링크를 이미 대상(target) 파일의 실제 경로로 해석(resolve)해 버리기 때문에, 이후에 진행되는 `Files.isDirectory(..., LinkOption.NOFOLLOW_LINKS)` 등의 심볼릭 링크 제한 검사가 완전히 무력화되는 취약점이 발견되었습니다.
diff --git a/src/main/kotlin/html4tree/main.kt b/src/main/kotlin/html4tree/main.kt
index df1e88d..70857a8 100644
--- a/src/main/kotlin/html4tree/main.kt
+++ b/src/main/kotlin/html4tree/main.kt
@@ -1,9 +1,11 @@
package html4tree
import java.io.File
+import java.security.SecureRandom
import java.nio.file.Files
import java.nio.file.LinkOption
import java.nio.file.StandardCopyOption
+import java.util.Base64
import com.github.ajalt.clikt.core.CliktCommand
import com.github.ajalt.clikt.parameters.options.option
import com.github.ajalt.clikt.parameters.options.default
@@ -21,6 +23,14 @@ class Html4tree : CliktCommand() {
fun main(args: Array) = Html4tree().main(args)
+private val nonceRandom = SecureRandom()
+
+fun generate_csp_nonce(): String {
+ val nonceBytes = ByteArray(16)
+ nonceRandom.nextBytes(nonceBytes)
+ return Base64.getEncoder().encodeToString(nonceBytes)
+}
+
fun go(topDir: String, maxLevel: Int) {
require(topDir.isNotBlank())
require(!topDir.contains("..")) { "Path traversal sequences are not allowed." }
@@ -178,13 +188,18 @@ fun write_index_file(curr_dir: File, content: String) {
fun process_dir(curr_dir: File){
val exclude: Set = process_ignore_file(curr_dir)
+ val styleNonce = generate_csp_nonce()
val css = """
-
"""
@@ -225,7 +245,7 @@ fun process_dir(curr_dir: File){
${curr_dir.getName().escapeHtml()}
${css}
@@ -234,7 +254,7 @@ fun process_dir(curr_dir: File){
${curr_dir.getName().escapeHtml()}
- ↰ ..↰ ..${icon} ${fileName.escapeHtml()}${icon} ${fileName.escapeHtml()}이 디렉토리는 비어 있습니다.
이 디렉토리는 비어 있습니다.