chore(deps): bump `minimatch` to `11.0.1` in `package-lock.json` (1 advisory)

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#5,481 1 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
78/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
node.js, typescript
Lĩnh vực
devops, security

Hướng nghiên cứu

Đọc src/filesystem/package.json và cập nhật phạm vi phiên bản đã khai báo của minimatch, đồng thời giữ nguyên toán tử hiện có. Sau đó, kiểm tra package-lock.json để xác nhận mọi bản sao được khóa đều nằm ngoài phạm vi dễ bị tổn thương trong cảnh báo, rồi chạy node scripts/dependabot-alerts.mjs --dry-run; issue hoàn tất khi tập lệnh báo rằng mức độ phơi nhiễm đã được loại bỏ.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

chore dependencies server-filesystem v2

Filed automatically from 1 open Dependabot alert by the daily alert sweep (#4874). The fix is written by hand against v2/main.
Package minimatch (npm)
Manifest package-lock.json
Vulnerable on v2/main 10.2.5
Bump to 11.0.1: the lowest listed patched version that no range below covers
Scope development
Highest severity medium

Advisories

GHSA CVE Severity Vulnerable range Fixed in Summary
GHSA-g3hv-75wg-m249 CVE-2026-118764 medium >= 7.0.0, < 11.0.1 11.0.1 minimatch has potential denial of service via globparts amplification

Fix

Raise the declared range in src/filesystem/package.json so minimatch can no longer resolve below 11.0.1, keeping the operator each already uses.

Then verify before opening the PR: every locked copy must be outside every range in the Advisories table. node scripts/dependabot-alerts.mjs --dry-run against the branch should report this exposure cleared.

Vulnerable copy Version
node_modules/minimatch 10.2.5

[!NOTE]
The GHSA, CVE, severity, range and summary are the advisory's own, as Dependabot reports them. What this sweep verified against v2/main is the installed versions and whether each advisory's range still matches them: GitHub computes alerts from the default branch, so an alert is filed only after that re-check.

Ngôn ngữ chính
TypeScript
Star
91.7k
Fork
11.9k
Merge trung bình
3 giờ 30 phút
Pull request đã merge (30 ngày)
204

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của modelcontextprotocol/servers

Tất cả issue của modelcontextprotocol/servers

Issue tương tự

Thêm issue về TypeScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.