Bericht 01M7BECX5MXJSY8BV18PRKW20X · checks-v2
GitHub CI/CD MCP Server MCP server: automatisierte Checks
Was HostedMCP am 13. Nov. 2026, 21:53 UTC geprüft hat. Jedes Ergebnis verlinkt auf die öffentliche Quelle, aus der es stammt, damit du es selbst nachprüfen kannst.
7 von 11 Checks ausgeführt · 1 schwerwiegender Befund · kein Sicherheitsaudit
- Geprüft
- 13. Nov. 2026, 21:53 UTC
- Commit
- —
- Paket
- @kinus/github-cicd-mcp · 1.2.2
- Methodik
- checks-v2
Was du für eine höhere Punktzahl verbessern kannst
3 Checks können mehr Punkte bringen. Der nächste Scan läuft innerhalb einer Woche oder direkt nach der nächsten Änderung am Repository.
- Build-Provenienz (Sigstore-Attestierung) bis zu +10 Pkt.
Veröffentliche mit Build-Provenance:
npm publish --provenanceaus GitHub Actions mitid-token: write, oder PyPI Trusted Publishing, das Attestierungen hinzufügt. - OpenSSF Scorecard bis zu +15 Pkt.
Füge die OpenSSF Scorecard Action (
ossf/scorecard-action) zum Repository hinzu und behebe die schwächsten Checks, die sie auflistet, etwa Branch Protection, gepinnte Dependencies und Token-Berechtigungen. - Keine kritischen Advisories im Paket oder seinen Abhängigkeiten bis zu +15 Pkt.
Aktualisiere die oben genannte Dependency auf ein Release ohne den kritischen Advisory (
npm audit fix, oderpip install -Uund eine neue Lock-Datei) und veröffentliche dann eine neue Version.
Herkunft
20 / 20 Punkte- BestandenSource Repository verknüpft und erreichbar10 Pkt.
devstephenke-sys/github-free-mcps ist öffentlich und erreichbar
github.com/devstephenke-sys/github-free-mcps ↗ - BestandenPaket nennt dieses Repository als Quelle5 Pkt.
@kinus/github-cicd-mcp nennen devstephenke-sys/github-free-mcps als Quelle
npmjs.com/package/@kinus/github-cicd-mcp ↗ - Nicht geprüftBuild-Provenienz (Sigstore-Attestierung)10 Pkt.
Keine Build-Attestierung für dieses Release veröffentlicht
So behebst du das: Veröffentliche mit Build-Provenance:
npm publish --provenanceaus GitHub Actions mitid-token: write, oder PyPI Trusted Publishing, das Attestierungen hinzufügt. - Bestanden
Praktiken
5 / 5 Punkte- BestandenCommit oder Release im letzten Jahr5 Pkt.
Letzter Commit oder Release 2026-10-22
github.com/devstephenke-sys/github-free-mcps ↗ - Nicht geprüftOpenSSF Scorecard15 Pkt.
So behebst du das: Füge die OpenSSF Scorecard Action (
ossf/scorecard-action) zum Repository hinzu und behebe die schwächsten Checks, die sie auflistet, etwa Branch Protection, gepinnte Dependencies und Token-Berechtigungen.
Supply Chain
10 / 25 Punkte- BestandenPackage-Name ähnelt keinem populären Package10 Pkt.
Kein populäres Paket eine Bearbeitung entfernt von @kinus/github-cicd-mcp
- BefundKeine kritischen Advisories im Paket oder seinen Abhängigkeiten15 Pkt.
Kritischer Advisory: GHSA-x6jw-m9v5-85vh, GHSA-v5rq-49vh-5v5c
osv.dev/vulnerability/GHSA-x6jw-m9v5-85vh ↗So behebst du das: Aktualisiere die oben genannte Dependency auf ein Release ohne den kritischen Advisory (
npm audit fix, oderpip install -Uund eine neue Lock-Datei) und veröffentliche dann eine neue Version.
Tool-Sicherheit
15 / 15 Punkte- BestandenKeine versteckten Anweisungen an das Modell15 Pkt.
0 Tool-Beschreibungen und das README gelesen; keine Override-Phrasen, Credential-Pfade oder versteckten Zeichen
- Nicht geprüftDestruktive Tools sind markiert5 Pkt.
Endpoint
nicht geprüft- Nicht geprüftRemote-Endpoint beantwortet den MCP-Handshake5 Pkt.
Was diese Checks nicht abdecken
- Der Code des Servers wird nicht ausgeführt und seine Logik nicht geprüft.
- Die Ergebnisse beschreiben das Repository und das Paket zum oben genannten Datum; ein späteres Release kann abweichen.
- Ein Bestehen ist keine Sicherheitsgarantie. Gib jedem Server nur den engsten Token oder die engste Rolle, die er braucht.