minidoracat/mcp-feedback-enhanced

Developer tools

このページは AI により自動翻訳されています。技術的な詳細は原文をご確認ください。原文を見る

3755 stars 353 forks 品質 82 トレンド 47NOASSERTION

Repository Install

AI支援開発におけるインタラクティブなユーザーフィードバックとコマンド実行のための強化されたMCPサーバー。デュアルインターフェースサポート(Web UIとデスクトップアプリケーション)とインテリジェント環境を備え...

概要

ファビオ・フェレイラ |オリジナルプロジェクト ⭐ ミニドラキャット sanshao85/mcp-feedback-collector これは、デュアルインターフェースオプションを提供し、ローカル、およびに完全に適応するMCPサーバーです。AIが投機的な操作ではなくユーザーと確認するように導くことで、複数のツール呼び出しを単一のフィードバック指向のリクエストに統合でき、プラットフォームコストを大幅に削減し、開発効率を向上させます。 - 🖥️ : ネイティブなクロスプラットフォームデスクトップ体験、Windows、macOS、Linux対応 - 🌐 : GUI依存関係不要、リモートおよびWSL環境に適している - 🔧 : 環境要件に応じて最適なインターフェースモードを選択する - 📦 : 両方のインターフェースはまったく同じ機能体験を提供します v2.5.0はTauriフレームワークに基づくクロスプラットフォームデスクトップアプリケーションサポートを導入し、Windows、macOS、Linuxプラットフォームをネイティブデスクトップ体験でサポートします。 1. →mcp-feedback-enhanced ツール 2.

概要（AI 翻訳）

** 🌐 言語 / 語言切換:** 英語 |繁體中文 |简体中文

オリジナル著者: ファビオ・フェレイラ |オリジナルプロジェクト ⭐ **強化フォーク:**ミニドラキャット UIデザイン参照: sanshao85/mcp-feedback-collector

📢 メンテナンス状況(2026-08)

プロジェクトは再び維持されています。v2.6.1へのアップグレードをお願いします — コマンド実行の脆弱性を修正します:

v2.6.1で何が変わったのか:

🔒 コマンド実行が削除されました — 修正#219(認証されていないWebSocketが任意のプログラムを実行可能)。旧ブロックリストはシェルメタ文字のみをキャッチしていましたが、shell=Falseを使った実行のため、メタ文字はリスクがありませんでした。cat]、curl、wget、pythonは直接パスされ、自動コマンドはデフォルトで有効化されました**。この機能は完全に廃止されました。詳細 SECURITY.md 参照。

🔒 クロスサイトWebSocketハイジャック修正(非公開報告はGHSA-cmr5-gpm3-79vf、GHSA-2wx7-r4rh-f663):ブラウザはWebSocketを開く際に同一起源ポリシーの制限を受けないため、悪意のあるページがブラウザをローカルの/wsに接続させる可能性があります。Originはaccept()より先に検証され、クロスオリジンの試みは403で拒否されます。

このページは AI により自動翻訳されています。技術的な詳細は原文をご確認ください。

README

以下は原文 README の抜粋です。原文を見る。

MCP Feedback Enhanced

🌐 Language / 語言切換: English | 繁體中文 | 简体中文

Original Author: Fábio Ferreira | Original Project ⭐ Enhanced Fork: Minidoracat UI Design Reference: sanshao85/mcp-feedback-collector

📢 Maintenance Status (2026-08)

The project is maintained again. Please upgrade to v2.6.1 — it fixes a command execution vulnerability:
uvx mcp-feedback-enhanced@latest
What changed in v2.6.1:

🔒 Command execution removed — fixes #219 (unauthenticated WebSocket could execute arbitrary programs). The old blocklist only caught shell metacharacters, but since execution used shell=False metacharacters were never the risk — cat, curl, wget, python passed straight through, and auto-command was enabled by default. The feature is gone for good. See SECURITY.md.

🔒 Cross-Site WebSocket Hijacking fixed (reported privately as GHSA-cmr5-gpm3-79vf, GHSA-2wx7-r4rh-f663): browsers are not restricted by the same-origin policy when opening a WebSocket, so a malicious page could make your browser connect to the local /ws. Origin is now validated before accept(), and cross-origin attempts are rejected with 403.

🐛 Fixed the Starlette breaking change that made the Web UI return 500 (#213, #217, #221, #228).

🐛 Fixed image serialization (#154 and related) by switching to standard mcp.types.ImageContent.

Current maintenance scope: security issues, and compatibility breaks that make installs unusable (dependency updates, upstream breaking changes). Anything beyond that will be decided from community feedback — see the pinned discussion.

One thing worth stating plainly: the original selling point was “consolidate multiple round-trips into a single Cursor request to save quota”. Cursor moved to token-based usage pricing in June 2025, so that premise no longer holds (see #115, #200). The positioning is now “insert human checkpoints into long-running tasks” — not a quota-saving tool.

Also note MCP and its clients now natively support Elicitation (server-initiated requests for user input) and MCP Apps (tools returning interactive UI). If native capabilities cover

GitHub で README 全文を見る

インストール

uvx mcp-feedback-enhanced@latest

MCP 初心者？mcpskill.org のガイドから始めましょう →

設定

{
  "mcpServers": {
    "mcp-feedback-enhanced": {
      "command": "uvx",
      "args": ["mcp-feedback-enhanced@latest"],
      "timeout": 600,
      "autoApprove": ["interactive_feedback"]
    }
  }
}