chore(deps): bump `minimatch` to `11.0.1` in `clients/tui/package-lock.json` (1 advisory)

Geschlossen Anfängerfreundlich
  • Stimmt etwas nicht?
#2,897 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Maintainer antworten meist innerhalb von 1 Tag

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit
1/5
Geschätzter Aufwand
1-3 Stunden
Anfängerfreundlichkeit
82/100
Issue-Typ
Bug
Klarheit
Klar beschrieben
Aktivitätsstatus
Aktiv
Tech-Stack
node.js, typescript
Bereich
devtools, security

Rechercherichtung

Lies die Hinweise zur Platzierung von Abhängigkeiten in AGENTS.md und prüfe clients/tui/package-lock.json auf die installierte minimatch-Kopie unter node_modules/minimatch. Füge einen overrides-Eintrag hinzu, der sie auf 11.0.1 festlegt, und aktualisiere anschließend die Lockdatei gemäß dem dokumentierten Paketmanager-Workflow des Repositorys. Fertig ist die Arbeit, wenn die Lockdatei diese Kopie auf 11.0.1 auflöst und die in der Sicherheitsempfehlung genannte verwundbare Version nicht mehr vorhanden ist.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

chore dependabot v2

Filed automatically from 1 open Dependabot alert (#2233). The fix is written by hand against v2/main.
Package minimatch
Manifest clients/tui/package-lock.json
Vulnerable on v2/main 10.2.6
Fixed in 11.0.1
Scope development
Highest severity medium

Advisories

GHSA CVE Severity Vulnerable range Summary
GHSA-g3hv-75wg-m249 CVE-2026-118764 medium >= 7.0.0, < 11.0.1 minimatch has potential denial of service via globparts amplification

Fix

Add an overrides entry pinning minimatch to 11.0.1, for the copies below, which no declared range reaches. Not npm audit fix, which "resolves" an advisory with no upward escape by silently downgrading.

Vulnerable copy Version
node_modules/minimatch 10.2.6

[!NOTE]
Priority is a standing rubric override. A routine bump scores Medium; a security bump is filed High so it does not sit.

Where each number comes from. The GHSA, CVE, severity, vulnerable range and summary are the advisory's own, reported by Dependabot. What was verified independently against v2/main is the installed versions, their paths, and whether each advisory's range still matches — GitHub computes alerts from the default branch, so an alert is filed here only after that re-check.

Vorherrschende Sprache
TypeScript
Sterne
11.2k
Forks
1.6k
Ø Merge
1 Std. 26 Min.
Gemergte PRs (30 T.)
142

Entwicklungsumgebung

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus modelcontextprotocol/inspector

Alle Issues in modelcontextprotocol/inspector

Ähnliche Issues

Weitere Issues zu TypeScript

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.