[v2] @modelcontextprotocol/server 2.4.0 inlines fast-uri 3.1.8, which has 4 advisories published 2026-10-23
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 2/5
- 見積もり時間
- 1〜3時間
- 初心者へのやさしさ
- 71/100
- issue の種類
- バグ
- 明瞭さ
- 明確に書かれている
- 活発さ
- 活発
- 技術スタック
- typescript
調査の方向性
まず packages/server/tsdown.config.ts と pnpm-lock.yaml を確認し、サーバーのバンドルに ajv と fast-uri がどのように含まれるかを調べます。解決された fast-uri のバージョンを 3.1.9 以降に更新し、バンドルされた出力でそのバージョンが使われていることを確認します。リリースバンドルに fast-uri 3.1.8 が含まれなくなれば完了です。Issue の再現コマンドで確認方法を示しています。
索引モデルが issue の本文から書いたものです。
説明
What happened?
Thanks for #3083 and 2.4.0: the bundled copy is now fast-uri 3.1.8, which clears the nine advisories in #2966.
On 2026-10-23, after 2.4.0 was published, GitHub published four more fast-uri advisories that affect 3.1.8 and are fixed in 3.1.9 (published 2026-10-19):
- GHSA-w74x-v6f9-j3xg (medium): URI scheme spoofing via percent-encoded scheme decoding
- GHSA-wjr9-j795-jxcr (medium): host confusion via unchecked WHATWG host canonicalization
- GHSA-xhq7-xmqj-769h (low): improper path equivalence in relative reference normalization
- GHSA-333x-w4r6-6crp (low): scheme injection via an unescaped first-segment colon in suffix references
As in #2966, ajv and its fast-uri are inlined into dist/ (noExternal in packages/server/tsdown.config.ts), so consumers cannot raise them with overrides or resolutions, and lockfile scanners do not see them. pnpm-lock.yaml on main still resolves [email protected].
We have not checked whether any of these advisories is reachable through the SDK's use of ajv.
What did you expect?
A release whose bundled fast-uri is 3.1.9 or later.
Code to reproduce
npm pack @modelcontextprotocol/[email protected]
tar xzf modelcontextprotocol-server-2.4.0.tgz
grep -ho '#region ../../node_modules/.pnpm/[^/]*/' package/dist/*.mjs | sort -u
# prints, among others, .pnpm/[email protected]/ and .pnpm/[email protected]/
SDK version
@modelcontextprotocol/server 2.4.0
Area
Server
- 主要言語
- TypeScript
- スター
- 13.7k
- フォーク
- 2.3k
- 平均マージ
- 1日 2時間
- マージ済み PR（30日）
- 60
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートなし
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
modelcontextprotocol/typescript-sdk のほかの issue
-
The `maxToolInputElements` refusal lacks the `Input validation error:` prefix that the schema refusal carries対応中かも @barry166 が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
modelcontextprotocol/typescript-sdk#3111 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
server: registeredResource.update and registeredResourceTemplate.update desync title and metadata.title when updating metadata alone対応中かも @FelixFangX が 1 日前に担当しました。 オープンv1 v2
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
modelcontextprotocol/typescript-sdk#3103 · コメント 2 件 ·
メンテナーはふだん 1 日以内に返信
-
[v2] server/client 2.4.0 inline fast-uri 3.1.8; four advisories published after release are fixed in 3.1.9対応中かも @claude が 1 日前に担当しました。 オープンv2
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
modelcontextprotocol/typescript-sdk#3101 ·
メンテナーはふだん 1 日以内に返信
-
[v1.x] Protocol.request keeps its abort listener after the request resolved, so a later abort sends notifications/cancelled for an answered request (1.30.0)対応中かも このイシューにリンクされたプルリクエストがオープン中、またはマージ済みです。 オープンv1
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
modelcontextprotocol/typescript-sdk#3090 · コメント 2 件 ·
メンテナーはふだん 1 日以内に返信
-
[v2] e2e `protocol:timeout:max-total` is flaky over SSE: fake timers advance before the request reaches the server対応中かも @Singmin が 9 日前に担当しました。 オープンv1 v2
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
modelcontextprotocol/typescript-sdk#3045 ·
メンテナーはふだん 1 日以内に返信
modelcontextprotocol/typescript-sdk の issue をすべて見る
似ている issue
-
Plugin: sheet music can't be scrolled by hand before playback対応中かも @snakajima が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
receptron/jinglescript#51 ·
メンテナーはふだん 1 日以内に返信
-
enhancement
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
メンテナーはふだん 9 日以内に返信
-
clawsweeper:needs-maintainer-review clawsweeper:needs-product-decision clawsweeper:no-new-fix-pr clawsweeper:source-repro impact:ux-friction issue-rating: 🦞 diamond lobster P3
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
openclaw/openclaw#186424 · コメント 1 件 · リアクション 1 件 ·
メンテナーはふだん 1 日以内に返信
-
chore(worker): five module header comments describe the code from before later issues changed itオープンarea:dev U2-later
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
bentleypark/aiwatch#1824 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
Pal-AI-Lab/Coopanion#469 ·
メンテナーはふだん 1 日以内に返信