[robertoecf]

A auditoria completa após o patch Undici encontrou Zod4.4.3 e body-parser2.3.0 no MCP. Este follow-up sobe somente o mínimo Zod para^4.6.7 e fixa override exato body-parser2.3.0→2.4.0, mantendo os majors e todas as versões MCP/agents/Wrangler. Lock muda apenas os pacotes afetados.

Validação no SHA58aa9a9ebd99b5737a7746c0ded7e81808775657:

• npm ci --ignore-scripts --no-audit PASS;51 testes MCP PASS.
• PYTHONPATH="$PWD/src" bash scripts/ship/preflight.sh PASS: Ruff, mypy91arquivos,369 testes;16integration deselected,1warning Starlette existente.
• npm audit zero vulnerabilidades conhecidas retornadas (281dependências).
• Review local completo DEGRADED_LOCAL_ONLY; sem delegação externa; no removable slop found. Não há código novo, secrets ou chamadas de produção.

MCP Trust Review local: MCP_SURFACE (dependências de validação/HTTP), PASS, NO_FINDINGS. Catálogo, code mode, fontes, limites de payload/elementos, audience e instâncias por sessão não são alterados;51 testes de segurança/contrato passam. Nenhuma nova capacidade, fonte autenticada ou abstração.

Fontes oficiais: GHSA-mrhx-c7xc-m3w5 . Body-parser foi confirmado pelo npm audit; sem supressão/exceção. Sem PyPI, release ou deploy manual. CI no SHA atual necessário antes de merge. Não alegar que o merge instala um runtime gerenciado.

[coderabbitai]

Caution

Review failed

The pull request is closed.

Finishing Touches

🧪 Generate unit tests (beta)

• Commit to this branch
• Create a new PR

• Autofix · Keep fixing CodeRabbit findings and required CI, and resolving merge conflicts

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}

[robertoecf]

A auditoria completa após o patch Undici encontrou Zod4.4.3 e body-parser2.3.0 no MCP. Este follow-up sobe somente o mínimo Zod para^4.6.7 e fixa override exato body-parser2.3.0→2.4.0, mantendo os majors e todas as versões MCP/agents/Wrangler. Lock muda apenas os pacotes afetados.

Validação no SHA58aa9a9ebd99b5737a7746c0ded7e81808775657:

• npm ci --ignore-scripts --no-audit PASS;51 testes MCP PASS.
• PYTHONPATH="$PWD/src" bash scripts/ship/preflight.sh PASS: Ruff, mypy91arquivos,369 testes;16integration deselected,1warning Starlette existente.
• npm audit zero vulnerabilidades conhecidas retornadas (281dependências).
• Review local completo DEGRADED_LOCAL_ONLY; sem delegação externa; no removable slop found. Não há código novo, secrets ou chamadas de produção.

MCP Trust Review local: MCP_SURFACE (dependências de validação/HTTP), PASS, NO_FINDINGS. Catálogo, code mode, fontes, limites de payload/elementos, audience e instâncias por sessão não são alterados;51 testes de segurança/contrato passam. Nenhuma nova capacidade, fonte autenticada ou abstração.

Fontes oficiais: GHSA-mrhx-c7xc-m3w5 . Body-parser foi confirmado pelo npm audit; sem supressão/exceção. Sem PyPI, release ou deploy manual. CI no SHA atual necessário antes de merge. Não alegar que o merge instala um runtime gerenciado.