chore(deps): bump `minimatch` to `11.0.1` in `clients/tui/package-lock.json` (1 advisory)

Aperta Adatta ai principianti
  • Qualcosa non va?
#2,897 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
1/5
Tempo stimato
1-3 ore
Idoneità per principianti
82/100
Tipo di issue
Bug
Chiarezza
Specificata chiaramente
Stato di attività
Attiva
Stack tecnologico
node.js, typescript
Ambito
devtools, security

Direzione di ricerca

Leggi le indicazioni sul posizionamento delle dipendenze in AGENTS.md e controlla clients/tui/package-lock.json per individuare la copia installata di minimatch in node_modules/minimatch. Aggiungi una voce overrides che la fissi alla versione 11.0.1, quindi aggiorna il file di lock seguendo il flusso di lavoro del gestore di pacchetti documentato nel repository. Il lavoro è completato quando il file di lock risolve quella copia alla versione 11.0.1 e la versione vulnerabile indicata nell’avviso non è più presente.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

chore dependabot v2

Filed automatically from 1 open Dependabot alert (#2233). The fix is written by hand against v2/main.
Package minimatch
Manifest clients/tui/package-lock.json
Vulnerable on v2/main 10.2.6
Fixed in 11.0.1
Scope development
Highest severity medium

Advisories

GHSA CVE Severity Vulnerable range Summary
GHSA-g3hv-75wg-m249 CVE-2026-118764 medium >= 7.0.0, < 11.0.1 minimatch has potential denial of service via globparts amplification

Fix

Add an overrides entry pinning minimatch to 11.0.1, for the copies below, which no declared range reaches. Not npm audit fix, which "resolves" an advisory with no upward escape by silently downgrading.

Vulnerable copy Version
node_modules/minimatch 10.2.6

[!NOTE]
Priority is a standing rubric override. A routine bump scores Medium; a security bump is filed High so it does not sit.

Where each number comes from. The GHSA, CVE, severity, vulnerable range and summary are the advisory's own, reported by Dependabot. What was verified independently against v2/main is the installed versions, their paths, and whether each advisory's range still matches — GitHub computes alerts from the default branch, so an alert is filed here only after that re-check.

Lingua principale
TypeScript
Stelle
11.2k
Fork
1.6k
Merge medio
3h 52m
PR unite (30g)
142

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di modelcontextprotocol/inspector

Tutte le issue di modelcontextprotocol/inspector

Issue simili

Altre issue su TypeScript

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.