CI: declare explicit GITHUB_TOKEN permissions in python.yml and typescript.yml
メンテナーはふだん 1 日以内に返信
評価
- 難易度
- 2/5
- 見積もり時間
- 1〜3時間
- 初心者へのやさしさ
- 80/100
調査の方向性
まず .github/workflows/python.yml と .github/workflows/typescript.yml から始めてください。現在、この2つにはトップレベルにもジョブごとにも permissions ブロックがありません。トップレベルに contents: read を指定した permissions ブロックを追加し、そのあと残りのワークフローファイルに同じ不足がないか確認してください。両ファイルがスコープを宣言し、そのどのジョブもそれ以上の権限を必要とせず、ワークフローが引き続き解析され実行されれば完了です。
索引モデルが issue の本文から書いたものです。
説明
Problem
CodeQL's actions/missing-workflow-permissions rule flags every job in .github/workflows/python.yml and .github/workflows/typescript.yml: neither workflow declares a permissions block, at the top level or per job, so each job's GITHUB_TOKEN takes the repository default.
- Open alerts on
main: #5, #6, #7, #8, #22, #23 (since 2025). The v1.0.0 merge PR #5090 surfaced the same rule on the jobs added since (Windows legs, coverage): code-scanning alerts 24–35. - The gap exists on
main,v2/mainandv2/release/1.0.0alike.
Impact
Defense in depth, not an exposure today: the repository's default workflow permission is read (GET /repos/modelcontextprotocol/servers/actions/permissions/workflow → "default_workflow_permissions":"read"). If that setting were ever changed to read/write, every job in these two workflows would silently gain write access.
Expected
Each workflow declares permissions: contents: read at the top level (no job here needs more), so the token's scope is fixed in the file rather than inherited from a setting. Check the other workflows for the same gap while there. The alerts close when the change reaches main at the next milestone merge.
- 主要言語
- JavaScript
- スター
- 91.2k
- フォーク
- 11.8k
- 平均マージ
- 6時間 39分
- マージ済み PR（30日）
- 111
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
modelcontextprotocol/servers のほかの issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
modelcontextprotocol/servers#5134 ·
メンテナーはふだん 1 日以内に返信
-
documentation v2
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
modelcontextprotocol/servers#5133 ·
メンテナーはふだん 1 日以内に返信
-
sequentialthinking: the thought box's header row is 2 columns narrower than its border対応中かも @nightcityblade が 2 日前に担当しました。 オープンbug server-sequentialthinking v2
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
modelcontextprotocol/servers#5108 · コメント 2 件 ·
メンテナーはふだん 1 日以内に返信
-
bug server-git v2
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
modelcontextprotocol/servers#5107 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
modelcontextprotocol/servers#5071 · コメント 2 件 ·
メンテナーはふだん 1 日以内に返信
modelcontextprotocol/servers の issue をすべて見る
似ている issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 77/100
apache/rocketmq-dashboard#6610 ·
メンテナーはふだん 3 日以内に返信
-
ACK_WAITING HELP_WANTED UPDATE_CS
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
OWASP/CheatSheetSeries#2781 ·
メンテナーはふだん 1 日以内に返信
-
Hermes: /ponytail off never reaches the model, the ruleset stays active対応中かも @szsunyuan が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
DietrichGebert/ponytail#1121 ·
メンテナーはふだん 3 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
メンテナーはふだん 1 日以内に返信
-
integrations plugin
難易度 2/5 1〜3時間 初心者へのやさしさ 84/100
メンテナーはふだん 1 日以内に返信