io.github.ihor-sokoliuk/mcp-searxng

Добавлено управление конкурентностью HTTP-запросов, обновлены зависимости и устранена уязвимость в инструментах сборки.

• НовоеВнедрено настраиваемое ограничение конкурентности для состоятельных HTTP-запросов с лимитами по умолчанию 16 POST и 4 GET на сессию.
• НовоеПри превышении лимитов возвращается HTTP 503 с заголовком Retry-After, при этом операция DELETE остается доступной.
• ИсправленоЗаменена уязвимая shell-зависимость в сборке на нативные Node-инструменты, что устранило цепочку уязвимостей.
• НовоеОбновлены зависимости: Express до 5.3.0, Undici до 7.30.0, Zod до 4.6.7 и пакеты TypeScript ESLint до 8.71.2.
• ИсправленоИсправлены E2E-тесты для compact-search, чтобы корректно обрабатывать диагностику ошибок движка и CAPTCHA.

Исправлены уязвимости в зависимостях, обновлён MCP SDK до 2.3.1 и улучшена документация.

• ИсправленоУстранена уязвимость подмены IP-адресов в зависимости proxy-addr.
• ИсправленоИсправлены три уязвимости отказа в обслуживании в зависимости brace-expansion.
• НовоеОбновлены MCP core/server/client до версии 2.3.1 и Node adapter до 2.1.1.
• НовоеДобавлены руководства по настройке SearXNG и развёртыванию браузерного решателя.
• НовоеУлучшена надёжность публикации в MCP Registry с обработкой задержек распространения.

Добавлено автоматическое завершение неактивных HTTP-сессий и улучшена обработка ошибок пустых поисковых запросов.

• НовоеДобавлена опциональная настройка времени жизни неактивных сессий (MCP_HTTP_SESSION_IDLE_TTL_MS) для очистки legacy-подключений.
• ИсправленоУлучшено различение сбоев движков и реальных пустых результатов поиска с корректной маркировкой ошибок в ответах.
• НовоеВ компактный JSON-ответ добавлено поле unresponsive_engines, а в текстовый вывод — заметки о сбоях.
• Обновлены зависимости и инструменты CI, включая TypeScript ESLint и Supertest; уязвимостей в зависимостях не обнаружено.

Релиз v2.4.0: защита учётных данных, лимиты сессий, таймауты инициализации и обновление базового образа Node.

• НовоеДобавлена защита учётных данных от утечек в диагностике, кэше и ответах инструментов.
• НовоеВведены переменные MCP_HTTP_MAX_SESSIONS и MCP_HTTP_INITIALIZE_TIMEOUT_MS для управления лимитами сессий и таймаутами инициализации.
• ИсправленоУлучшена работа браузерного решателя: использование рендеринга, восстановление терминала и повторная проверка DNS.
• НовоеОбновлён базовый образ Docker до Alpine с Node 24.21.0, минимальная поддерживаемая версия — Node 22.
• УстарелоОтменено расписание независимых пересборок Docker-образа, теперь публикуются только версионные релизы.

Добавлена поддержка OAuth для MCP, устранены уязвимости обхода IPv6 и улучшена устойчивость парсинга метаданных.

• НовоеДобавлен опциональный режим OAuth для MCP с проверкой токенов и обнаружением ресурсов.
• ИсправленоЗаблокирован доступ к приватным IPv4-адресам через инкапсуляцию в IPv6 и неглобальные IPv6-URL.
• ИсправленоИсправлена обработка некорректных метаданных, предотвращающая искажение результатов поиска.
• ИсправленоОбновлена уязвимая зависимость парсера запросов.
• Обновлены зависимости среды выполнения и CI-действия, требование Node.js 22+ сохранено.

Исправлена валидация временных диапазонов для явных движков и улучшены тесты контрактов MCP.

• ИсправленоДобавлена надежная проверка поддержки временных диапазонов для явно выбранных поисковых движков; запросы к неподдерживаемым движкам теперь возвращают понятную ошибку вместо пустых результатов.
• ИсправленоИнтеграционные тесты контрактов MCP переписаны для проверки структуры каталогов инструментов, что упрощает ревью изменений без хрупких сравнений полных определений.
• ИсправленоТесты релизов теперь валидируют семантические версии, поддерживаемые версии Node.js и документацию на основе авторитетных метаданных, а не фиксированных текстов.

Версия 2.0.0: переход на Node.js 22, поддержка современного протокола MCP 2026-07-28 и усиление безопасности.

• Ломает совместимостьТребование Node.js 22+: поддержка Node.js 20 прекращена, необходимо обновление среды выполнения.
• Ломает совместимостьПакет стал исполняемым только через CLI: удален программный интерфейс, прямые импорты больше не поддерживаются.
• Ломает совместимостьНовые правила для HTTP-запросов: обязательны заголовки Content-Type и MCP-Protocol-Version, добавлены жесткие лимиты.
• УстарелоУдалены уведомления об ошибках логирования после подключения, так как современный протокол их больше не использует.
• НовоеДобавлена поддержка современного протокола MCP версии 2026-07-28 для HTTP и STDIO транспортов.
• ИсправленоВнедрено глобальное ограничение частоты вызовов инструментов для всех транспортов для защиты от перегрузки.