[v2] server/client 2.4.0 inline fast-uri 3.1.8; four advisories published after release are fixed in 3.1.9
Maintainer antworten meist innerhalb von 1 Tag
Bewertung
- Schwierigkeit
- 2/5
- Geschätzter Aufwand
- 1-3 Stunden
- Anfängerfreundlichkeit
- 72/100
- Issue-Typ
- Bug
- Klarheit
- Größtenteils klar
- Aktivitätsstatus
- Aktiv
- Tech-Stack
- node.js, typescript
- Bereich
- backend-api-design, security
Rechercherichtung
Prüfe zunächst die fast-uri-Version in pnpm-lock.yaml und wie die Server- und Client-Bundles diese Abhängigkeit einbetten. Aktualisiere die aufgelöste Version auf 3.1.9 oder höher, und erstelle anschließend einen Build oder ein Paket für beide packages und führe die bereitgestellte grep-Prüfung für ihre Source Maps aus. Fertig ist die Arbeit, wenn beide Bundles [email protected] oder höher melden.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Beschreibung
What happened?
Follow-up to #2966 / #3083. @modelcontextprotocol/server 2.4.0 and @modelcontextprotocol/client 2.4.0 now inline fast-uri 3.1.8 (thanks for the quick fix). About three hours after 2.4.0 was published, four more advisories went out for fast-uri < 3.1.9:
- GHSA-wjr9-j795-jxcr (moderate): host confusion via unchecked WHATWG host canonicalization
- GHSA-w74x-v6f9-j3xg (moderate): URI scheme spoofing via percent-encoded scheme decoding
- GHSA-xhq7-xmqj-769h (low): improper path equivalence in relative reference normalization
- GHSA-333x-w4r6-6crp (low): scheme injection via an unescaped first-segment colon in suffix ref
All four are fixed in fast-uri 3.1.9, which was already on npm (2026-10-19). pnpm-lock.yaml on main still resolves 3.1.8. As in #2966, the copy is inlined, so consumers cannot raise it with overrides, and lockfile-based audit tools do not see it.
We have not checked whether any of these is reachable through the SDK's use of ajv.
What did you expect?
A release whose bundles inline fast-uri 3.1.9 or later — presumably the same lockfile bump as #3083.
How to verify
npm pack @modelcontextprotocol/[email protected] @modelcontextprotocol/[email protected]
for p in server client; do mkdir -p $p && tar -xzf modelcontextprotocol-$p-2.4.0.tgz -C $p; done
grep -oh 'fast-uri@[0-9.]*' server/package/dist/*.map client/package/dist/*.map | sort -u
# [email protected]
- Vorherrschende Sprache
- TypeScript
- Sterne
- 13.7k
- Forks
- 2.3k
- Ø Merge
- 1 T. 5 Std.
- Gemergte PRs (30 T.)
- 51
Entwicklungsumgebung
- Kein Dockerfile und keine Docker-Compose-Datei
- Keine Pull-Request-Vorlage
- Beitragsleitfaden lesen
Erste Schritte
- Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
- Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
- Forken Sie das Repository und arbeiten Sie in einem Branch.
- Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.
Mehr aus modelcontextprotocol/typescript-sdk
-
v2
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 82/100
modelcontextprotocol/typescript-sdk#3124 · 1 Kommentar ·
Maintainer antworten meist innerhalb von 1 Tag
-
The `maxToolInputElements` refusal lacks the `Input validation error:` prefix that the schema refusal carriesEvtl. vergeben @barry166 hat das vor 3 Tagen übernommen. Offenv1 v2
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100
modelcontextprotocol/typescript-sdk#3111 · 3 Kommentare ·
Maintainer antworten meist innerhalb von 1 Tag
-
server: registeredResource.update and registeredResourceTemplate.update desync title and metadata.title when updating metadata aloneEvtl. vergeben Ein verknüpfter Pull Request ist offen oder bereits gemergt. Offenv1 v2
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 76/100
modelcontextprotocol/typescript-sdk#3103 · 5 Kommentare ·
Maintainer antworten meist innerhalb von 1 Tag
-
[v1.x] Protocol.request keeps its abort listener after the request resolved, so a later abort sends notifications/cancelled for an answered request (1.30.0)Evtl. vergeben Ein verknüpfter Pull Request ist offen oder bereits gemergt. Offenv1
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 76/100
modelcontextprotocol/typescript-sdk#3090 · 2 Kommentare ·
Maintainer antworten meist innerhalb von 1 Tag
-
[v2] e2e `protocol:timeout:max-total` is flaky over SSE: fake timers advance before the request reaches the serverEvtl. vergeben @Singmin hat das vor 11 Tagen übernommen. Offenv1 v2
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100
modelcontextprotocol/typescript-sdk#3045 ·
Maintainer antworten meist innerhalb von 1 Tag
Alle Issues in modelcontextprotocol/typescript-sdk
Ähnliche Issues
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100
-
area:desktop area:ui bug platform:macos
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 67/100
anthropics/claude-code#106183 ·
Maintainer antworten meist innerhalb von 1 Tag
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 76/100
-
Schwierigkeit 1/5 1-3 Stunden Anfängerfreundlichkeit 76/100
Maintainer antworten meist innerhalb von 1 Tag
-
reproduced
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100
anomalyco/opencode#60558 · 1 Kommentar ·
Maintainer antworten meist innerhalb von 1 Tag