[v2] @modelcontextprotocol/server 2.4.0 inlines fast-uri 3.1.8, which has 4 advisories published 2026-10-23
Mantenedores costumam responder em até 1 dia
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 2/5
- Tempo estimado
- 1-3 horas
- Facilidade para iniciantes
- 71/100
- Tipo de issue
- Bug
- Clareza
- Claramente especificada
- Status de atividade
- Ativa
- Stack de tecnologia
- typescript
Direção de pesquisa
Comece por packages/server/tsdown.config.ts e pnpm-lock.yaml e, em seguida, inspecione como o bundle do servidor inclui ajv e fast-uri. Atualize a versão resolvida de fast-uri para 3.1.9 ou posterior e confira se a saída empacotada usa essa versão. O trabalho estará concluído quando um bundle de release não contiver mais fast-uri 3.1.8; os comandos de reprodução da issue mostram como inspecioná-lo.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
What happened?
Thanks for #3083 and 2.4.0: the bundled copy is now fast-uri 3.1.8, which clears the nine advisories in #2966.
On 2026-10-23, after 2.4.0 was published, GitHub published four more fast-uri advisories that affect 3.1.8 and are fixed in 3.1.9 (published 2026-10-19):
- GHSA-w74x-v6f9-j3xg (medium): URI scheme spoofing via percent-encoded scheme decoding
- GHSA-wjr9-j795-jxcr (medium): host confusion via unchecked WHATWG host canonicalization
- GHSA-xhq7-xmqj-769h (low): improper path equivalence in relative reference normalization
- GHSA-333x-w4r6-6crp (low): scheme injection via an unescaped first-segment colon in suffix references
As in #2966, ajv and its fast-uri are inlined into dist/ (noExternal in packages/server/tsdown.config.ts), so consumers cannot raise them with overrides or resolutions, and lockfile scanners do not see them. pnpm-lock.yaml on main still resolves [email protected].
We have not checked whether any of these advisories is reachable through the SDK's use of ajv.
What did you expect?
A release whose bundled fast-uri is 3.1.9 or later.
Code to reproduce
npm pack @modelcontextprotocol/[email protected]
tar xzf modelcontextprotocol-server-2.4.0.tgz
grep -ho '#region ../../node_modules/.pnpm/[^/]*/' package/dist/*.mjs | sort -u
# prints, among others, .pnpm/[email protected]/ and .pnpm/[email protected]/
SDK version
@modelcontextprotocol/server 2.4.0
Area
Server
- Linguagem predominante
- TypeScript
- Estrelas
- 13.7k
- Forks
- 2.3k
- Merge médio
- 1d 5h
- PRs com merge (30d)
- 51
Preparar o ambiente
- Sem Dockerfile nem arquivo Docker Compose
- Sem modelo de pull request
- Ler o guia de contribuição
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de modelcontextprotocol/typescript-sdk
-
v2
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 82/100
modelcontextprotocol/typescript-sdk#3124 · 1 comentário ·
Mantenedores costumam responder em até 1 dia
-
The `maxToolInputElements` refusal lacks the `Input validation error:` prefix that the schema refusal carriesTalvez já em andamento @barry166 assumiu há 3 dias. Abertav1 v2
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 78/100
modelcontextprotocol/typescript-sdk#3111 · 3 comentários ·
Mantenedores costumam responder em até 1 dia
-
server: registeredResource.update and registeredResourceTemplate.update desync title and metadata.title when updating metadata aloneTalvez já em andamento Um pull request vinculado a esta issue está aberto ou já foi mesclado. Abertav1 v2
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 76/100
modelcontextprotocol/typescript-sdk#3103 · 5 comentários ·
Mantenedores costumam responder em até 1 dia
-
[v1.x] Protocol.request keeps its abort listener after the request resolved, so a later abort sends notifications/cancelled for an answered request (1.30.0)Talvez já em andamento Um pull request vinculado a esta issue está aberto ou já foi mesclado. Abertav1
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 76/100
modelcontextprotocol/typescript-sdk#3090 · 2 comentários ·
Mantenedores costumam responder em até 1 dia
-
[v2] e2e `protocol:timeout:max-total` is flaky over SSE: fake timers advance before the request reaches the serverTalvez já em andamento @Singmin assumiu há 11 dias. Abertav1 v2
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 72/100
modelcontextprotocol/typescript-sdk#3045 ·
Mantenedores costumam responder em até 1 dia
Todas as issues de modelcontextprotocol/typescript-sdk
Issues semelhantes
-
bug
Dificuldade 1/5 Menos de uma hora Facilidade para iniciantes 86/100
awslabs/visual-asset-management-system#937 ·
Mantenedores costumam responder em até 1 dia
-
t0ggles
Dificuldade 1/5 Menos de uma hora Facilidade para iniciantes 82/100
nolimits4web/swiper#8255 · 1 comentário ·
Mantenedores costumam responder em até 15 dias
-
render: --variables-file (and --variables <path>) fails with "io.readFile is not a function" since 0.8.212Talvez já em andamento @miguel-heygen assumiu hoje. Abertabug triage/needs-triage
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 76/100
heygen-com/hyperframes#6830 ·
Mantenedores costumam responder em até 1 dia
-
bug launch local use
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 65/100
Mantenedores costumam responder em até 1 dia
-
account: profile bug
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 78/100
Mantenedores costumam responder em até 5 dias