CI: declare explicit GITHUB_TOKEN permissions in python.yml and typescript.yml
Los mantenedores suelen responder en 1 día
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 2/5
- Tiempo estimado
- 1-3 horas
- Aptitud para principiantes
- 80/100
Línea de trabajo
Empieza con .github/workflows/python.yml y .github/workflows/typescript.yml, que actualmente no tienen un bloque permissions ni en el nivel superior ni por job. Añade un bloque permissions de nivel superior con contents: read y luego revisa el resto de archivos de workflow en busca de la misma carencia. Está terminado cuando ambos archivos declaran el alcance, ningún job en ellos necesita más y los workflows siguen analizándose y ejecutándose.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Problem
CodeQL's actions/missing-workflow-permissions rule flags every job in .github/workflows/python.yml and .github/workflows/typescript.yml: neither workflow declares a permissions block, at the top level or per job, so each job's GITHUB_TOKEN takes the repository default.
- Open alerts on
main: #5, #6, #7, #8, #22, #23 (since 2025). The v1.0.0 merge PR #5090 surfaced the same rule on the jobs added since (Windows legs, coverage): code-scanning alerts 24–35. - The gap exists on
main,v2/mainandv2/release/1.0.0alike.
Impact
Defense in depth, not an exposure today: the repository's default workflow permission is read (GET /repos/modelcontextprotocol/servers/actions/permissions/workflow → "default_workflow_permissions":"read"). If that setting were ever changed to read/write, every job in these two workflows would silently gain write access.
Expected
Each workflow declares permissions: contents: read at the top level (no job here needs more), so the token's scope is fixed in the file rather than inherited from a setting. Check the other workflows for the same gap while there. The alerts close when the change reaches main at the next milestone merge.
- Lenguaje dominante
- TypeScript
- Estrellas
- 91k
- Forks
- 11.8k
- Merge medio
- 6 h 52 min
- PR fusionados (30 d)
- 107
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de modelcontextprotocol/servers
-
documentation v2
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
modelcontextprotocol/servers#5133 ·
Los mantenedores suelen responder en 1 día
-
sequentialthinking: the thought box's header row is 2 columns narrower than its borderPosiblemente ocupada @nightcityblade la tomó hace 1 día. Abiertobug server-sequentialthinking v2
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
modelcontextprotocol/servers#5108 · 2 comentarios ·
Los mantenedores suelen responder en 1 día
-
bug server-git v2
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
modelcontextprotocol/servers#5107 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
modelcontextprotocol/servers#5071 · 2 comentarios ·
Los mantenedores suelen responder en 1 día
-
git: git_create_branch is marked non-destructive but silently resets an existing packed branchAbierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 85/100
modelcontextprotocol/servers#5059 · 2 comentarios ·
Los mantenedores suelen responder en 1 día
Todos los issues de modelcontextprotocol/servers
Issues similares
-
area:deploy task
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
wilanis/wilanis-js#1017 ·
Los mantenedores suelen responder en 1 día
-
budget bug feature frontend good-issue medium needs-review OSCI'26 payments
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
SatyamPandey-07/WorkSphere#5990 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
lugassawan/swe-workbench#799 ·
Los mantenedores suelen responder en 1 día
-
bug good first issue javascript
Dificultad 2/5 1-3 horas Aptitud para principiantes 82/100
yukikotani231/sqlsift#326 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 82/100
Agenta-AI/agenta#7542 · 1 comentario · 1 reacción ·
Los mantenedores suelen responder en 1 día