Numeric issue IDs bypass project-scoped MCP sessions

Aberta
  • Algo errado?
#2,237 1 comentário 0 reações 0 responsáveis Ver no GitHub

Mantenedores costumam responder em até 1 dia

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade
4/5
Tempo estimado
3-5 dias
Facilidade para iniciantes
30/100
Tipo de issue
Bug
Clareza
Razoavelmente clara
Status de atividade
Ativa
Stack de tecnologia
typescript
Domínio
cli, security

Direção de pesquisa

Start with the project-scoped check added in commit 01b06bba (#1922) and see how it validates org-qualified targets and short IDs against the session's project. Then trace how issue view resolves a numeric ID to an issue and where the CLI could fetch the issue's project before reading or changing it. Done means a numeric ID outside the session's project is rejected in a sentry mcp --commands session, with tests covering the case.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

Part of #1357. Found while reviewing #1922.

In a project-scoped sentry mcp --commands session, an issue command that takes a numeric ID can read or change an issue in another project of the same org. For example, issue view 12345 in an acme/web session reaches an issue that lives in acme/api. The command surface checks each target before the call, but a numeric ID doesn't say which project the issue belongs to, so it can't be checked there.

  • Org-qualified targets and issue short IDs are already checked against the session's project in #1922 (01b06bba). Numeric IDs are the remaining path.
  • The same gap applies to any other command that resolves an opaque ID to a project-owned resource.
  • Proposal (BYK, while reviewing #1922): after looking up the issue, the CLI compares its project with the session constraint before reading or changing anything. Since that's a CLI change outside #1922's command surface, it lands separately.

via @BYK.

--

View Session [Sentry]

Linguagem predominante
TypeScript
Estrelas
961
Forks
179
Merge médio
15h 33min
PRs com merge (30d)
476

Preparar o ambiente

Este projeto não oferece contêiner de desenvolvimento, Dockerfile nem guia de contribuição, então a configuração fica por sua conta: comece pelo README e veja nosso guia da primeira contribuição para os passos gerais.

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de getsentry/toolkit

Todas as issues de getsentry/toolkit

Issues semelhantes

Mais issues de TypeScript

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.