Libros: Wikisource, EPUB propios y lectura sin conexión

Wikisource en español como segunda fuente, con el EPUB que genera ws-export
y portadas generadas con el título.

Cada usuario puede subir sus EPUB, visibles solo para él en cualquier ruta.
Los archivos manipulados (ZIP bombs, cabeceras falsas) se rechazan.

Un libro se puede guardar entero en el dispositivo para leerlo sin conexión.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

app/cbz.js

@@ -75,6 +75,7 @@ export function readZipIndex(file) {
     const count = tail.readUInt16LE(eocd + 10)
     const cdSize = tail.readUInt32LE(eocd + 12)
     const cdOffset = tail.readUInt32LE(eocd + 16)
+    if (cdSize > size) throw new Error('ZIP inválido')
     const cd = Buffer.alloc(cdSize)
     fs.readSync(fd, cd, 0, cdSize, cdOffset)
     const entries = []
@@ -87,6 +88,7 @@ export function readZipIndex(file) {
       const extraLen = cd.readUInt16LE(p + 30)
       const commentLen = cd.readUInt16LE(p + 32)
       const localOffset = cd.readUInt32LE(p + 42)
+      if (compSize > size) throw new Error('ZIP inválido')
       const name = cd.toString('utf8', p + 46, p + 46 + nameLen)
       p += 46 + nameLen + extraLen + commentLen
       fs.readSync(fd, lh, 0, 30, localOffset)