[v2] @modelcontextprotocol/server 2.4.0 inlines fast-uri 3.1.8, which has 4 advisories published 2026-10-23
Los mantenedores suelen responder en 1 día
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 2/5
- Tiempo estimado
- 1-3 horas
- Aptitud para principiantes
- 71/100
- Tipo de issue
- Error
- Claridad
- Bien especificado
- Estado de actividad
- Activo
- Stack tecnológico
- typescript
Línea de trabajo
Empieza con packages/server/tsdown.config.ts y pnpm-lock.yaml y luego inspecciona cómo el bundle del servidor incluye ajv y fast-uri. Actualiza la versión resuelta de fast-uri a 3.1.9 o posterior y comprueba que la salida empaquetada use esa versión. El trabajo estará terminado cuando un bundle de release ya no contenga fast-uri 3.1.8; los comandos de reproducción del issue muestran cómo inspeccionarlo.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
What happened?
Thanks for #3083 and 2.4.0: the bundled copy is now fast-uri 3.1.8, which clears the nine advisories in #2966.
On 2026-10-23, after 2.4.0 was published, GitHub published four more fast-uri advisories that affect 3.1.8 and are fixed in 3.1.9 (published 2026-10-19):
- GHSA-w74x-v6f9-j3xg (medium): URI scheme spoofing via percent-encoded scheme decoding
- GHSA-wjr9-j795-jxcr (medium): host confusion via unchecked WHATWG host canonicalization
- GHSA-xhq7-xmqj-769h (low): improper path equivalence in relative reference normalization
- GHSA-333x-w4r6-6crp (low): scheme injection via an unescaped first-segment colon in suffix references
As in #2966, ajv and its fast-uri are inlined into dist/ (noExternal in packages/server/tsdown.config.ts), so consumers cannot raise them with overrides or resolutions, and lockfile scanners do not see them. pnpm-lock.yaml on main still resolves [email protected].
We have not checked whether any of these advisories is reachable through the SDK's use of ajv.
What did you expect?
A release whose bundled fast-uri is 3.1.9 or later.
Code to reproduce
npm pack @modelcontextprotocol/[email protected]
tar xzf modelcontextprotocol-server-2.4.0.tgz
grep -ho '#region ../../node_modules/.pnpm/[^/]*/' package/dist/*.mjs | sort -u
# prints, among others, .pnpm/[email protected]/ and .pnpm/[email protected]/
SDK version
@modelcontextprotocol/server 2.4.0
Area
Server
- Lenguaje dominante
- TypeScript
- Estrellas
- 13.7k
- Forks
- 2.3k
- Merge medio
- 1 d 2 h
- PR fusionados (30 d)
- 60
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Sin plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de modelcontextprotocol/typescript-sdk
-
The `maxToolInputElements` refusal lacks the `Input validation error:` prefix that the schema refusal carriesPosiblemente ocupada @barry166 la tomó hoy. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
modelcontextprotocol/typescript-sdk#3111 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
server: registeredResource.update and registeredResourceTemplate.update desync title and metadata.title when updating metadata alonePosiblemente ocupada @FelixFangX la tomó hoy. Abiertov1 v2
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
modelcontextprotocol/typescript-sdk#3103 · 2 comentarios ·
Los mantenedores suelen responder en 1 día
-
[v2] server/client 2.4.0 inline fast-uri 3.1.8; four advisories published after release are fixed in 3.1.9Posiblemente ocupada @claude la tomó hoy. Abiertov2
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
modelcontextprotocol/typescript-sdk#3101 ·
Los mantenedores suelen responder en 1 día
-
[v1.x] Protocol.request keeps its abort listener after the request resolved, so a later abort sends notifications/cancelled for an answered request (1.30.0)Posiblemente ocupada Un pull request vinculado a esta issue está abierto o ya se fusionó. Abiertov1
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
modelcontextprotocol/typescript-sdk#3090 · 2 comentarios ·
Los mantenedores suelen responder en 1 día
-
[v2] e2e `protocol:timeout:max-total` is flaky over SSE: fake timers advance before the request reaches the serverPosiblemente ocupada @Singmin la tomó hace 9 días. Abiertov1 v2
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
modelcontextprotocol/typescript-sdk#3045 ·
Los mantenedores suelen responder en 1 día
Todos los issues de modelcontextprotocol/typescript-sdk
Issues similares
-
category::task code priority::normal
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
e0ipso/strikethroo#145 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 1/5 1-3 horas Aptitud para principiantes 85/100
cocos/cocos-docs#3333 ·
-
bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
RevenueCat/react-native-purchases#2079 ·
Los mantenedores suelen responder en 1 día
-
bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
RevenueCat/purchases-hybrid-common#2039 ·
Los mantenedores suelen responder en 1 día
-
agent-reported area/react bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 82/100
Los mantenedores suelen responder en 1 día