chore(deps): bump `minimatch` to `11.0.1` in `package-lock.json` (1 advisory)
维护者通常 1 天内回复
还没有人认领这个 Issue。
评估
- 难度
- 2/5
- 预计耗时
- 1-3 小时
- 新手友好度
- 78/100
- Issue 类型
- 缺陷
- 描述清晰度
- 描述清楚
- 活跃度
- 活跃
- 技术栈
- node.js, typescript
调研方向
阅读src/filesystem/package.json，更新声明的minimatch版本范围，同时保留现有运算符。然后检查package-lock.json，确认每个锁定的副本都在该安全公告所述的易受攻击范围之外，并运行node scripts/dependabot-alerts.mjs --dry-run；脚本报告风险暴露已清除后，该 issue 即完成。
由索引模型根据 Issue 内容生成。
描述
Filed automatically from 1 open Dependabot alert by the daily alert sweep (#4874). The fix is written by hand against v2/main.
| Package | minimatch (npm) |
| Manifest | package-lock.json |
Vulnerable on v2/main |
10.2.5 |
| Bump to | 11.0.1: the lowest listed patched version that no range below covers |
| Scope | development |
| Highest severity | medium |
Advisories
| GHSA | CVE | Severity | Vulnerable range | Fixed in | Summary |
|---|---|---|---|---|---|
| GHSA-g3hv-75wg-m249 | CVE-2026-118764 | medium | >= 7.0.0, < 11.0.1 | 11.0.1 | minimatch has potential denial of service via globparts amplification |
Fix
Raise the declared range in src/filesystem/package.json so minimatch can no longer resolve below 11.0.1, keeping the operator each already uses.
Then verify before opening the PR: every locked copy must be outside every range in the Advisories table. node scripts/dependabot-alerts.mjs --dry-run against the branch should report this exposure cleared.
| Vulnerable copy | Version |
|---|---|
node_modules/minimatch |
10.2.5 |
[!NOTE]
The GHSA, CVE, severity, range and summary are the advisory's own, as Dependabot reports them. What this sweep verified againstv2/mainis the installed versions and whether each advisory's range still matches them: GitHub computes alerts from the default branch, so an alert is filed only after that re-check.
- 主要语言
- TypeScript
- 星标
- 91.7k
- 派生
- 11.9k
- 平均合并
- 3 小时 30 分钟
- 30 天内合并 PR
- 204
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
modelcontextprotocol/servers 的其他 Issue
-
bug v2
难度 1/5 1 小时以内 新手友好度 88/100
modelcontextprotocol/servers#5483 ·
维护者通常 1 天内回复
-
bug v2
难度 2/5 1-3 小时 新手友好度 65/100
modelcontextprotocol/servers#5482 ·
维护者通常 1 天内回复
-
chore v2
难度 4/5 3-5 天 新手友好度 45/100
modelcontextprotocol/servers#5463 ·
维护者通常 1 天内回复
-
bug server-filesystem v2
难度 5/5 一周以上 新手友好度 25/100
modelcontextprotocol/servers#5260 · 3 条评论 ·
维护者通常 1 天内回复
-
git: the string "null" for base_branch, contains or not_contains arrives as None (python-sdk#3055)未关闭bug server-git v2 waiting-on-sdk
难度 3/5 1-2 天 新手友好度 68/100
modelcontextprotocol/servers#5176 · 1 条评论 ·
维护者通常 1 天内回复
查看 modelcontextprotocol/servers 的全部 Issue
相似的 Issue
-
Chip source filter and denial markers miss Storage rows when a Storage activity source is picked未关闭bug
难度 2/5 1-3 小时 新手友好度 78/100
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 77/100
omdsh-dev/DSH-better-sidebar#1141 ·
维护者通常 2 天内回复
-
desktop linux photos
难度 2/5 1-3 小时 新手友好度 78/100
维护者通常 1 天内回复
-
Cleanup Setup可能已有人在做 @AlexanderKaran 今天认领。 未关闭documentation enhancement
难度 2/5 1-3 小时 新手友好度 64/100
e18e/framework-tracker#769 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 76/100
维护者通常 1 天内回复