Laporan 01M7BECX5MXJSY8BV18PRKW20X · checks-v2

GitHub CI/CD MCP Server MCP server: pemeriksaan otomatis

Apa yang diperiksa HostedMCP pada 13 Nov 2026, 21.53 UTC. Setiap hasil tertaut ke sumber publik asalnya, sehingga Anda dapat memeriksanya sendiri.

Belum terverifikasi

77/100

7 dari 11 pemeriksaan dijalankan · 1 temuan tinggi · bukan audit keamanan

Diperiksa: 13 Nov 2026, 21.53 UTC
Commit: —
Paket: @kinus/github-cicd-mcp · 1.2.2
Metodologi: checks-v2

Yang perlu diperbaiki agar skor lebih tinggi

3 pemeriksaan dapat menambah poin. Pemindaian berikutnya berjalan dalam satu minggu, atau tepat setelah repositori berubah.

Provenance build (atestasi Sigstore) hingga +10 poin
Terbitkan dengan build provenance: npm publish --provenance dari GitHub Actions dengan id-token: write, atau PyPI Trusted Publishing, yang menambahkan atestasi.
OpenSSF Scorecard hingga +15 poin
Tambahkan action OpenSSF Scorecard (ossf/scorecard-action) ke repositori dan perbaiki pemeriksaan terlemah yang dicantumkannya, seperti branch protection, dependensi yang di-pin, dan izin token.
Tidak ada advisory kritis pada paket atau dependensinya hingga +15 poin
Perbarui dependensi yang disebutkan di atas ke rilis tanpa advisory kritis (npm audit fix, atau pip install -U dan lock file baru), lalu terbitkan versi baru.

Asal

20 / 20 poin

Source repository terhubung dan dapat dijangkau10 poin
devstephenke-sys/github-free-mcps publik dan dapat diakses
github.com/devstephenke-sys/github-free-mcps ↗
Lolos
Nama paket mencantumkan repositori ini sebagai sumbernya5 poin
@kinus/github-cicd-mcp menyebut devstephenke-sys/github-free-mcps sebagai sumber
npmjs.com/package/@kinus/github-cicd-mcp ↗
Lolos
Provenance build (atestasi Sigstore)10 poin
Tidak ada attestation build yang dipublikasikan untuk rilis ini
Cara memperbaiki: Terbitkan dengan build provenance: npm publish --provenance dari GitHub Actions dengan id-token: write, atau PyPI Trusted Publishing, yang menambahkan atestasi.
Tidak diperiksa
Lisensi open source (OSI)5 poin
MIT
spdx.org/licenses/MIT.html ↗
Lolos

Praktik

5 / 5 poin

Ada commit atau release dalam satu tahun terakhir5 poin
Commit atau rilis terakhir 2026-10-22
github.com/devstephenke-sys/github-free-mcps ↗
Lolos
OpenSSF Scorecard15 poin
Cara memperbaiki: Tambahkan action OpenSSF Scorecard (ossf/scorecard-action) ke repositori dan perbaiki pemeriksaan terlemah yang dicantumkannya, seperti branch protection, dependensi yang di-pin, dan izin token.
Tidak diperiksa

Rantai pasok

10 / 25 poin

Nama package tidak mirip dengan package populer10 poin
Tidak ada paket populer yang berjarak satu edit dari @kinus/github-cicd-mcp
Lolos
Tidak ada advisory kritis pada paket atau dependensinya15 poin
Advisory kritis: GHSA-x6jw-m9v5-85vh, GHSA-v5rq-49vh-5v5c
osv.dev/vulnerability/GHSA-x6jw-m9v5-85vh ↗
Cara memperbaiki: Perbarui dependensi yang disebutkan di atas ke rilis tanpa advisory kritis (npm audit fix, atau pip install -U dan lock file baru), lalu terbitkan versi baru.
Temuan

Keamanan tool

15 / 15 poin

Tidak ada instruksi tersembunyi untuk model15 poin
0 deskripsi tool dan README diperiksa; tidak ada frasa override, path kredensial, atau karakter tersembunyi
Lolos
Tools yang bersifat destruktif telah diberi label5 poin
Tidak diperiksa

Endpoint

tidak diperiksa

Endpoint remote merespons handshake MCP5 poin
Tidak diperiksa

Yang tidak dicakup pemeriksaan ini

Kode server tidak dijalankan dan logikanya tidak diaudit.
Hasil menggambarkan repositori dan paket pada tanggal di atas; rilis berikutnya bisa berbeda.
Lulus bukan jaminan keamanan. Beri setiap server token atau peran paling sempit yang dibutuhkannya.

Yang perlu diperbaiki agar skor lebih tinggi

3 pemeriksaan dapat menambah poin. Pemindaian berikutnya berjalan dalam satu minggu, atau tepat setelah repositori berubah.

Provenance build (atestasi Sigstore) hingga +10 poin

Terbitkan dengan build provenance: npm publish --provenance dari GitHub Actions dengan id-token: write, atau PyPI Trusted Publishing, yang menambahkan atestasi.

OpenSSF Scorecard hingga +15 poin

Tambahkan action OpenSSF Scorecard (ossf/scorecard-action) ke repositori dan perbaiki pemeriksaan terlemah yang dicantumkannya, seperti branch protection, dependensi yang di-pin, dan izin token.

Tidak ada advisory kritis pada paket atau dependensinya hingga +15 poin

Perbarui dependensi yang disebutkan di atas ke rilis tanpa advisory kritis (npm audit fix, atau pip install -U dan lock file baru), lalu terbitkan versi baru.