[v2] @modelcontextprotocol/server 2.4.0 inlines fast-uri 3.1.8, which has 4 advisories published 2026-10-23
Maintainer antworten meist innerhalb von 1 Tag
Dieses Issue hat noch niemand übernommen.
Bewertung
- Schwierigkeit
- 2/5
- Geschätzter Aufwand
- 1-3 Stunden
- Anfängerfreundlichkeit
- 71/100
- Issue-Typ
- Bug
- Klarheit
- Klar beschrieben
- Aktivitätsstatus
- Aktiv
- Tech-Stack
- typescript
Rechercherichtung
Beginne mit packages/server/tsdown.config.ts und pnpm-lock.yaml und prüfe dann, wie das Server-Bundle ajv und fast-uri einbindet. Aktualisiere die aufgelöste fast-uri-Version auf 3.1.9 oder höher und prüfe, ob die gebündelte Ausgabe diese Version verwendet. Die Aufgabe ist abgeschlossen, wenn ein Release-Bundle fast-uri 3.1.8 nicht mehr enthält; die Reproduktionsbefehle des Issues zeigen, wie sich das prüfen lässt.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Beschreibung
What happened?
Thanks for #3083 and 2.4.0: the bundled copy is now fast-uri 3.1.8, which clears the nine advisories in #2966.
On 2026-10-23, after 2.4.0 was published, GitHub published four more fast-uri advisories that affect 3.1.8 and are fixed in 3.1.9 (published 2026-10-19):
- GHSA-w74x-v6f9-j3xg (medium): URI scheme spoofing via percent-encoded scheme decoding
- GHSA-wjr9-j795-jxcr (medium): host confusion via unchecked WHATWG host canonicalization
- GHSA-xhq7-xmqj-769h (low): improper path equivalence in relative reference normalization
- GHSA-333x-w4r6-6crp (low): scheme injection via an unescaped first-segment colon in suffix references
As in #2966, ajv and its fast-uri are inlined into dist/ (noExternal in packages/server/tsdown.config.ts), so consumers cannot raise them with overrides or resolutions, and lockfile scanners do not see them. pnpm-lock.yaml on main still resolves [email protected].
We have not checked whether any of these advisories is reachable through the SDK's use of ajv.
What did you expect?
A release whose bundled fast-uri is 3.1.9 or later.
Code to reproduce
npm pack @modelcontextprotocol/[email protected]
tar xzf modelcontextprotocol-server-2.4.0.tgz
grep -ho '#region ../../node_modules/.pnpm/[^/]*/' package/dist/*.mjs | sort -u
# prints, among others, .pnpm/[email protected]/ and .pnpm/[email protected]/
SDK version
@modelcontextprotocol/server 2.4.0
Area
Server
- Vorherrschende Sprache
- TypeScript
- Sterne
- 13.7k
- Forks
- 2.3k
- Ø Merge
- 1 T. 2 Std.
- Gemergte PRs (30 T.)
- 61
Entwicklungsumgebung
- Kein Dockerfile und keine Docker-Compose-Datei
- Keine Pull-Request-Vorlage
- Beitragsleitfaden lesen
Erste Schritte
- Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
- Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
- Forken Sie das Repository und arbeiten Sie in einem Branch.
- Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.
Mehr aus modelcontextprotocol/typescript-sdk
-
The `maxToolInputElements` refusal lacks the `Input validation error:` prefix that the schema refusal carriesEvtl. vergeben @barry166 hat das vor 1 Tag übernommen. Offenv1 v2
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100
modelcontextprotocol/typescript-sdk#3111 · 3 Kommentare ·
Maintainer antworten meist innerhalb von 1 Tag
-
server: registeredResource.update and registeredResourceTemplate.update desync title and metadata.title when updating metadata aloneEvtl. vergeben Ein verknüpfter Pull Request ist offen oder bereits gemergt. Offenv1 v2
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 76/100
modelcontextprotocol/typescript-sdk#3103 · 2 Kommentare ·
Maintainer antworten meist innerhalb von 1 Tag
-
[v1.x] Protocol.request keeps its abort listener after the request resolved, so a later abort sends notifications/cancelled for an answered request (1.30.0)Evtl. vergeben Ein verknüpfter Pull Request ist offen oder bereits gemergt. Offenv1
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 76/100
modelcontextprotocol/typescript-sdk#3090 · 2 Kommentare ·
Maintainer antworten meist innerhalb von 1 Tag
-
[v2] e2e `protocol:timeout:max-total` is flaky over SSE: fake timers advance before the request reaches the serverEvtl. vergeben @Singmin hat das vor 10 Tagen übernommen. Offenv1 v2
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100
modelcontextprotocol/typescript-sdk#3045 ·
Maintainer antworten meist innerhalb von 1 Tag
-
[v1.x] Backport #2654: `notifications/cancelled` with `requestId: 0` is ignored, so the first server→client request cannot be cancelled (still in 1.32.1)Evtl. vergeben @CloudCorpRecords hat das vor 11 Tagen übernommen. Offenv1
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 77/100
modelcontextprotocol/typescript-sdk#3043 · 2 Kommentare ·
Maintainer antworten meist innerhalb von 1 Tag
Alle Issues in modelcontextprotocol/typescript-sdk
Ähnliche Issues
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100
vekexasia/pi-extensible-workflows#374 ·
Maintainer antworten meist innerhalb von 2 Tagen
-
documentation good first issue
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 77/100
Maintainer antworten meist innerhalb von 1 Tag
-
help wanted linux
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 75/100
GiuseppeBellamacina/downtime#19 ·
Maintainer antworten meist innerhalb von 1 Tag
-
bug
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 82/100
scaleway/ultraviolet#7089 ·
Maintainer antworten meist innerhalb von 2 Tagen
-
bug
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 76/100
Get-Concord-AI/concord-mcp#296 ·
Maintainer antworten meist innerhalb von 1 Tag