Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

🚨 Security: Critical or high vulnerabilities in mcp-server-time container

Aperta
  • Qualcosa non va?
#1,042 1 commento 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 2 giorni

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
3/5
Tempo stimato
1-2 giorni
Idoneità per principianti
62/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Attiva
Stack tecnologico
docker, github-actions, python
Ambito
infrastructure, security

Direzione di ricerca

Individua dove l'immagine mcp-server-time fissa le sue dipendenze Python (cerca nel repo pyjwt/2.13.0 e il Dockerfile o il manifest di lock che alimenta ghcr.io/stacklok/dockyard/uvx/mcp-server-time), e controlla il workflow periodic-security-scan per vedere come l'immagine viene costruita e nuovamente scansionata. Aggiorna pyjwt a una release che corregge GHSA-ffc3-869f-jxw9 e i cinque avvisi di alta gravità, ricostruisci e conferma che code-scanning mostra i risultati risolti e che il workflow di build può pubblicare.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

critical grype high security

🚨 Security Scan Alert

A periodic security scan found fixable critical or high severity vulnerabilities in the container image. Findings at this level also block publishing in the build workflow.

  • Image: ghcr.io/stacklok/dockyard/uvx/mcp-server-time:2026.8.18
  • Critical vulnerabilities: 1
  • High vulnerabilities: 5
Details

See the Security tab for full details.

Critical Vulnerabilities
  • GHSA-ffc3-869f-jxw9 in [email protected]: PyJWT: Asymmetric-PEM detection bypass: whitespace/line-ending-mutated public keys skip the HS/asymmetric confusion guard
High Vulnerabilities
  • GHSA-r6x4-923q-g947 in [email protected]: PyJWT BOM Bypass
  • GHSA-w2cx-738m-mc7w in [email protected]: PyJWT accepts public JWK containers as HMAC secrets
  • GHSA-9j54-fg26-wv3r in [email protected]: PyJWT: PyJWK accepts empty HMAC keys, bypassing PyJWT's empty-key validation
  • GHSA-p4g4-x82p-q773 in [email protected]: PyJWT: Public keys in DER form are accepted as HMAC secrets, bypassing the CVE-2022-29217 guard
  • GHSA-9v7f-9g4p-ffgj in [email protected]: PyJWT: PyJWKClient follows redirects when fetching JWKS

Automated security scan from periodic-security-scan workflow

Lingua principale
Go
Stelle
8
Fork
7
Merge medio
1g 21h
PR unite (30g)
69

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di stacklok/dockyard

Tutte le issue di stacklok/dockyard

Issue simili

Altre issue su Go

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.