chore(deps): bump `minimatch` to `11.0.1` in `package-lock.json` (1 advisory)

Aberta Para iniciantes
  • Algo errado?
#5,481 1 comentário 0 reações 0 responsáveis Ver no GitHub

Mantenedores costumam responder em até 1 dia

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade
2/5
Tempo estimado
1-3 horas
Facilidade para iniciantes
78/100
Tipo de issue
Bug
Clareza
Claramente especificada
Status de atividade
Ativa
Stack de tecnologia
node.js, typescript
Domínio
devops, security

Direção de pesquisa

Leia src/filesystem/package.json e atualize o intervalo declarado de minimatch, mantendo o operador existente. Em seguida, inspecione package-lock.json para confirmar que todas as cópias bloqueadas estão fora do intervalo vulnerável do aviso e execute node scripts/dependabot-alerts.mjs --dry-run; a issue estará concluída quando o script informar que a exposição foi eliminada.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

chore dependencies server-filesystem v2

Filed automatically from 1 open Dependabot alert by the daily alert sweep (#4874). The fix is written by hand against v2/main.
Package minimatch (npm)
Manifest package-lock.json
Vulnerable on v2/main 10.2.5
Bump to 11.0.1: the lowest listed patched version that no range below covers
Scope development
Highest severity medium

Advisories

GHSA CVE Severity Vulnerable range Fixed in Summary
GHSA-g3hv-75wg-m249 CVE-2026-118764 medium >= 7.0.0, < 11.0.1 11.0.1 minimatch has potential denial of service via globparts amplification

Fix

Raise the declared range in src/filesystem/package.json so minimatch can no longer resolve below 11.0.1, keeping the operator each already uses.

Then verify before opening the PR: every locked copy must be outside every range in the Advisories table. node scripts/dependabot-alerts.mjs --dry-run against the branch should report this exposure cleared.

Vulnerable copy Version
node_modules/minimatch 10.2.5

[!NOTE]
The GHSA, CVE, severity, range and summary are the advisory's own, as Dependabot reports them. What this sweep verified against v2/main is the installed versions and whether each advisory's range still matches them: GitHub computes alerts from the default branch, so an alert is filed only after that re-check.

Linguagem predominante
TypeScript
Estrelas
91.7k
Forks
11.9k
Merge médio
3h 30min
PRs com merge (30d)
199

Preparar o ambiente

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de modelcontextprotocol/servers

Todas as issues de modelcontextprotocol/servers

Issues semelhantes

Mais issues de TypeScript

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.