[V0.8.3] WP-P1+P2: Python-Helfer auf shutil/argv-Listen (#43/#48) #57

Issues: #43 + #48 · Verdicts: beide confirmed (Low; #43 latent an Konstantpfaden, #48 Dead Code mit 18 Root-Importen) · Fix-Plan: security-fixplan-42-50.md → WP-P1/P2, eingewebt in Release V0.8.3 (Python-Helfer, Unittest-Gate läuft ohnehin).

WP-P1 — #43: jfiles.copy_file() → shutil.copy2

additional/python/jfiles.py:181: os.system("cp '" + src + "' '" + dst + "'") → shutil.copy2(source_path, destination_path) (Pfade als Daten; Metadaten-Erhalt passt zur Timeshift-Config). Einziger Caller setup_automatic_snapshots.py:9 mit zwei Konstantpfaden (latent). Regressionstest in additional/python/tests/. Upstream-Hinweis an Jean28518/jtools-unix-python (Basti-Task, nicht Commit). Commit: „fix(python): copy timeshift config with shutil instead of a shell command".

WP-P2 — #48: jessentials.download_file()/unzip_file() auf argv-Listen

jessentials.py:166/175-181: URL/Pfade interpoliert in Command-Strings; run_command() macht shlex.split + Popen ohne Shell → Whitespace-Split + Leading-Dash-Option-Injection (CWE-88). Repo-weit 0 Caller (Dead Code), aber 18 Root-Skripte importieren jessentials (latent, LOW). Fix: argv-Listen (Default, statt Dead-Helper löschen), Leading-Dash-Guard/---Separator für link, Unit-Test nach test_command_queue.py-Schema. Upstream-Hinweis wie #43. Commit: „fix(python): invoke wget/unzip with argv lists".

Gates: Python-Unittests + globales CI-Gate-Set.