Rapport 01M7DFNVXD4R0237DCB702A3T0 · checks-v2
Serveur MCP Cozo Memory : vérifications automatisées
Ce que HostedMCP a vérifié le 14 nov. 2026, 16:54 UTC. Chaque résultat renvoie à la source publique dont il provient, pour que vous puissiez le vérifier vous-même.
8 vérifications sur 11 exécutées · 1 constat élevé · pas un audit de sécurité
- Vérifié le
- 14 nov. 2026, 16:54 UTC
- Commit
- —
- Package
- cozo-memory · 1.0.3
- Méthodologie
- checks-v2
Ce qu'il faut corriger pour un meilleur score
3 vérifications peuvent rapporter plus de points. Le prochain scan s'exécute sous une semaine, ou juste après une modification du dépôt.
- Provenance du build (attestation Sigstore) jusqu'à +10 pts
Publiez avec une provenance de build :
npm publish --provenancedepuis GitHub Actions avecid-token: write, ou PyPI Trusted Publishing, qui ajoute des attestations. - OpenSSF Scorecard jusqu'à +15 pts
Ajoutez l'action OpenSSF Scorecard (
ossf/scorecard-action) au dépôt et corrigez les vérifications les plus faibles qu'elle liste, comme la protection de branche, les dépendances épinglées et les permissions de jeton. - Aucun avis critique dans le package ou ses dépendances jusqu'à +15 pts
Mettez à jour la dépendance nommée ci-dessus vers une version sans l'avis critique (
npm audit fix, oupip install -Uet un nouveau fichier de verrouillage), puis publiez une nouvelle version.
Origine
20 / 20 points- RéussiDépôt source lié et accessible10 pts
tobs-code/cozo-memory est public et accessible
github.com/tobs-code/cozo-memory ↗ - RéussiLe nom du package correspond au dépôt source5 pts
cozo-memory désignent tobs-code/cozo-memory comme source
npmjs.com/package/cozo-memory ↗ - Non vérifiéProvenance du build (attestation Sigstore)10 pts
Aucune attestation de build publiée pour cette version
Comment corriger: Publiez avec une provenance de build :
npm publish --provenancedepuis GitHub Actions avecid-token: write, ou PyPI Trusted Publishing, qui ajoute des attestations. - Réussi
Pratiques
5 / 5 points- RéussiCommit ou version publiée au cours de l'année écoulée5 pts
Dernier commit ou dernière version 2026-06-08
github.com/tobs-code/cozo-memory ↗ - Non vérifiéOpenSSF Scorecard15 pts
Comment corriger: Ajoutez l'action OpenSSF Scorecard (
ossf/scorecard-action) au dépôt et corrigez les vérifications les plus faibles qu'elle liste, comme la protection de branche, les dépendances épinglées et les permissions de jeton.
Chaîne d'approvisionnement
10 / 25 points- RéussiNom du package non proche d'un package populaire10 pts
Aucun paquet populaire à une modification de cozo-memory
- FailleAucun avis critique dans le package ou ses dépendances15 pts
Avis critique : GHSA-23hp-3jrh-7fpw
osv.dev/vulnerability/GHSA-23hp-3jrh-7fpw ↗Comment corriger: Mettez à jour la dépendance nommée ci-dessus vers une version sans l'avis critique (
npm audit fix, oupip install -Uet un nouveau fichier de verrouillage), puis publiez une nouvelle version.
Sécurité des outils
20 / 20 points- RéussiAucune instruction cachée destinée au modèle15 pts
5 descriptions d'outils et le README lus ; aucune phrase de contournement, aucun chemin d'identifiants ni caractère masqué
- RéussiLes outils destructifs sont étiquetés5 pts
Aucun outil nommé comme delete, drop ou exec
Point de terminaison
non vérifié- Non vérifiéLe point de terminaison distant répond à la poignée de main MCP5 pts
Ce que ces vérifications ne couvrent pas
- Le code du serveur n'est pas exécuté et sa logique n'est pas auditée.
- Les résultats décrivent le dépôt et le paquet à la date ci-dessus ; une version ultérieure peut différer.
- Une réussite n'est pas une garantie de sécurité. Accordez à chaque serveur le jeton ou le rôle le plus restreint dont il a besoin.