DSH Cockpit 0.2.3

文档修正版本。无功能或安全性变更，0.2.2 的安全修复在本版本中完全保留。

修正内容

发布包内的 README 标题此前写死了版本号，导致 0.2.2 发布后 npm 页面仍显示 DSH Cockpit 0.2.1。标题不再包含版本号（npm 页面本身已展示版本），并新增测试防止再次引入。

升级

dsh plugin --profile web add dsh-cockpit@0.2.3

仍在使用 0.2.1 或更早版本的用户请务必升级——那些版本存在工作区边界与同源校验漏洞，详见 v0.2.2。

DSH Cockpit 0.2.2

安全修复版本，建议所有用户升级。0.2.1 及更早版本存在下列问题。

修复内容

• 终端 cwd 越界：runTerminalCommand 未经工作区边界校验解析 cwd，传入 ../../../../etc 之类的相对路径可在工作区外执行命令。现改为与其他接口一致使用 targetFrom() 校验。
• 上报 cwd 未受约束：命令执行后回传的 cwd 被直接采纳，cd / 可把工作区外的目录带入下一条命令。现仅在路径位于工作区内时才采纳。
• 写接口缺少同源校验：此前仅 terminal 受保护，reveal、write、transfer、upload 均可被任意网页跨站调用，从而改写或上传工作区文件。
• Markdown 链接 XSS：预览时链接 URL 被直接写入 href，不可信 .md 中的 javascript: 链接可在具备文件读写能力的上下文中执行。现经 safeUrl() 过滤。
• 静态资源缺少防嗅探响应头：新增 X-Content-Type-Options: nosniff 与 Content-Security-Policy；SVG 改为以附件形式下载，避免同源内联执行脚本。

升级

dsh plugin --profile web add dsh-cockpit@0.2.2

说明

新增 tests/security.test.mjs，覆盖上述每一项，修复前全部失败。仓库已启用 Dependabot 与 CodeQL。

完整变更见 CHANGELOG.md。

DSH Cockpit 0.2.1

Security release for workbook preview.

• Replaces vulnerable npm xlsx@0.18.5 with vendored SheetJS CE 0.20.3 from the authoritative SheetJS distribution
• Remediates exposure to CVE-2023-30533 and CVE-2024-22363
• Adds a 25 MB Office preview limit
• Keeps .xls and .xlsx preview support
• Includes the SheetJS Apache-2.0 license in the release bundle

Upgrade:

dsh plugin --profile web add dsh-cockpit@0.2.1

DSH Cockpit 0.2.0

DSH Cockpit is a desktop-style project and AI workbench plugin for DeepSeek Harness.

Highlights:

• Public project renamed to DSH Cockpit
• Single-package installation with dsh-cockpit
• Project terminal below the center preview
• VS Code-style reusable preview tabs and pinned AI-opened tabs
• Public dsh-cockpit-install Codex Skill

Install:

dsh plugin --profile web add dsh-cockpit

Compatible with DeepSeek Harness 0.1.0-rc.6.