Atlas / MCP servers / jeonghwanko / Mimi Seed Sdk

Mimi Seed SdkBLOCK

Name: Mimi Seed Sdk
Author: jeonghwanko

mcp/jeonghwanko/mimi-seed-sdk

MCP server by jeonghwanko · admob · app release · app store · Audited 2026-10-12

Release Doctor: check Expo, React Native and Unity release risks before connecting app stores. CLI + MCP for Claude Code and Codex.

Verdict

BLOCK

Grade

Trust score

57 /100

Exposed tools

200 139r · 96w · 12d

Transport

stdio

License

NOASSERTION

Stars

Overview

From the repository's own README, as read at the audited commit. Badges and raw HTML are left out.

🌐 Homepage · 🌱 Try Release Doctor · 📦 npm · 🇰🇷 한국어

How many tabs do you have open right now to ship one app?

Play Console · App Store Connect · Firebase · AdMob · Google Cloud IAM... Write release notes, check screenshot specs, reply to reviews, wire up Firebase — all in separate dashboards, all manual.

Mimi Seed handles all of this through Claude Code or Codex conversation.

"Is my app ready to ship?"
→ Readiness Score 87/100 · 2 blockers: missing 6.9" screenshots, What's New empty

"Write release notes from commits since the last tag, Korean and English, and push to Play Store"
→ 3 tones (concise / detailed / marketing) × 2 locales generated · Apply now?

"Reply to this 1-star review with an empathetic tone"
→ Draft ready · Review before posting?

"Add an Android app to Firebase and download google-services.json"
→ App created · Add SHA-1 fingerprint?

Try Release Doctor first — no account or store key

Target API · Billing · Expo · [Unity](docs/guides/unity-google-play-co

Read from source at commit 20f201476517OBSERVED · 2026-10-12

Connect

Built from this server's own package name, version and transport as found in its source — not copied from anyone's documentation, so it cannot drift against a page we do not control. Replace the environment placeholders with a token scoped to the least it needs.

claude-code

claude mcp add mimi-seed-mcp --env ANTHROPIC_API_KEY=${ANTHROPIC_API_KEY} --env MIMI_SEED_GOOGLE_CLIENT_SECRET=${MIMI_SEED_GOOGLE_CLIENT_SECRET} --env MIMI_SEED_TOKEN=${MIMI_SEED_TOKEN} --env PRESEED_GOOGLE_CLIENT_SECRET=${PRESEED_GOOGLE_CLIENT_SECRET} -- npx -y @yoonion/[email protected]

claude-desktop

{
  "mcpServers": {
    "mimi-seed-mcp": {
      "command": "npx",
      "args": [
        "-y",
        "@yoonion/[email protected]"
      ],
      "env": {
        "ANTHROPIC_API_KEY": "${ANTHROPIC_API_KEY}",
        "MIMI_SEED_GOOGLE_CLIENT_SECRET": "${MIMI_SEED_GOOGLE_CLIENT_SECRET}",
        "MIMI_SEED_TOKEN": "${MIMI_SEED_TOKEN}",
        "PRESEED_GOOGLE_CLIENT_SECRET": "${PRESEED_GOOGLE_CLIENT_SECRET}"
      }
    }
  }
}

Exposed tools (200)

139 read · 96 write · 12 destructive. Blast radius: 12 tools can delete or overwrite — an agent that can be talked into calling a tool can be talked into calling this one.

Tool	Risk	Description
`admob_create_ad_unit`	write	AdMob 광고 단위 생성 (v1beta — Limited Access)
`admob_create_app`	write	AdMob에 새 앱 등록 (v1beta — Limited Access). appStoreId 를 주면 스토어 게시 앱과 링크(Android=패키지명, iOS=App Store 숫자 ID), 없으면 manual(unlinked) 앱.
`admob_get_report`	read	AdMob 수익 리포트 (기간 지정)
`admob_get_today_earnings`	read	오늘 AdMob 수익 요약
`admob_list_accounts`	read	AdMob 계정 목록 조회
`admob_list_ad_units`	read	AdMob 광고 단위 목록
`admob_list_apps`	read	AdMob에 등록된 앱 목록
`android_check_billing_compliance`	read
`android_generate_keystore`	read
`android_signing_setup`	read
`appstore_add_beta_testers`	write
`appstore_add_product_to_review`	write	App Store IAP/구독 상품을 단독으로 심사에 제출한다 — consumable/non_consumable 은
`appstore_add_version_to_review_submission`	write	이미 존재하는 심사 묶음에 앱 버전을 항목으로 추가한다 (POST /reviewSubmissionItems).
`appstore_attach_build`	read
`appstore_beta_status`	read
`appstore_cancel_review`	read
`appstore_check_submission_risks`	read
`appstore_create_app_info_localization`	write
`appstore_create_inapp_purchase`	write
`appstore_create_subscription`	write
`appstore_create_version`	write
`appstore_declare_encryption`	read
`appstore_delete_preview`	destructive
`appstore_delete_product`	destructive	⚠️ 비가역. App Store IAP 상품 삭제. MISSING_METADATA / WAITING_FOR_REVIEW 상태만 가능 — 이미 승인(READY_FOR_SALE)된 상품은 Console에서
`appstore_delete_screenshot`	destructive	App Store 개별 스크린샷 삭제
`appstore_delete_screenshot_set`	destructive	App Store 스크린샷 셋 전체 삭제 (디스플레이 타입 교체 시 먼저 정리)
`appstore_get_age_rating`	read
`appstore_get_app`	read	App Store Connect 앱 상세 정보
`appstore_get_app_info`	read	App Store 앱 정보 (카테고리, 연령 등급, state). state=READY_FOR_DISTRIBUTION이 라이브, 그 외가 편집 가능 appInfo.
`appstore_get_availability`	read
`appstore_get_finance_report`	read
`appstore_get_metadata`	read	App Store 버전 메타데이터 (설명문, 키워드, What\
`appstore_get_review_notes`	read	App Store 심사 리뷰어 노트(Notes for App Review) 조회. 현재 등록된 notes, contactEmail 확인용.
`appstore_get_sales_report`	read
`appstore_get_weekly_insight`	read
`appstore_list_app_info_localizations`	read
`appstore_list_apps`	read	App Store Connect 앱 목록 조회
`appstore_list_beta_groups`	read	TestFlight 베타 그룹 목록
`appstore_list_builds`	read	TestFlight 빌드 목록
`appstore_list_previews`	read
`appstore_list_product_localizations`	read	App Store IAP/구독 상품의 현지화(표시 이름·설명) 목록 조회. locale / name / description / state 반환.
`appstore_list_products`	read	App Store의 모든 IAP 상품(구독 + 일회성) 통합 조회. productId / internalId / name / status / type 반환.
`appstore_list_review_submissions`	read	App Store 심사 제출 묶음(reviewSubmissions) + 내부 항목 조회 — 읽기 전용.
`appstore_list_reviews`	read
`appstore_list_screenshots`	read	App Store 스크린샷 셋 + 이미지 목록 조회 (로컬라이제이션 단위). 디스플레이 타입별로 그룹핑됨
`appstore_list_versions`	read	App Store 버전 목록 (심사 상태 포함)
`appstore_notify_beta_testers`	read
`appstore_phased_release`	read
`appstore_plan_release`	read
`appstore_release_status`	read
`appstore_release_version`	read
`appstore_remove_review_submission_item`	destructive	심사 제출 묶음에서 항목을 제거한다 (removed=true PATCH) — ASC 웹
`appstore_reply_review`	read
`appstore_set_beta_group_build`	write
`appstore_set_territory_availability`	write
`appstore_submit_beta_review`	write
`appstore_submit_for_review`	write
`appstore_update_age_rating`	write
`appstore_update_app_info_localization`	write
`appstore_update_beta_review_detail`	write
`appstore_update_beta_test_info`	write
`appstore_update_localization`	write	App Store 버전 로컬라이제이션(메타데이터) 수정 — localizationId 직접 지정. 이 버전의 새로운 기능(whatsNew), 설명(description), 키워드, 프로모션 텍스트를 편집. 수정 가능한 상태(PREPARE_FOR_SUBMISSION 등)인 버전에서만 반영됨
`appstore_update_product`	write	App Store IAP 상품의 reference name 변경. productId / 유형은 변경 불가.
`appstore_update_product_localization`	write	App Store IAP/구독 상품의 현지화(표시 이름·설명)를 로케일 단위로 upsert — 있으면 수정, 없으면 생성.
`appstore_update_product_review_note`	write	기존 App Store IAP/구독 상품의 App Review 노트를 수정. appstore_list_products의 productId/type을 사용.
`appstore_update_release_type`	write
`appstore_update_review_notes`	write	App Store 심사 리뷰어 노트(Notes for App Review) 등록/수정. versionId 버전에 appStoreReviewDetail.notes를 PATCH하거나 없으면 POST로 생성. 심사 시 리뷰어에게 전달되는 테스트 계정·기능 안내 텍스트 작성에 사용. 4000자 권장 한도.
`appstore_update_version_string`	write	기존 App Store 버전 레코드의 versionString 을 변경 (예: 2.0.5 → 2.0.6).
`appstore_update_whats_new`	write	App Store
`appstore_update_whats_to_test`	write
`appstore_upload_preview`	write
`appstore_upload_product_review_screenshot`	write
`appstore_upload_screenshot`	write
`appstore_verify_credentials`	read
`bigquery_auth_status`	read	현재 BigQuery 인증 상태 조회 — 어떤 인증(서비스 계정/OAuth)이 사용되는지 확인
`bigquery_get_table_schema`	read	BigQuery 테이블 스키마(컬럼 정보) 조회
`bigquery_list_datasets`	read	BigQuery 프로젝트의 데이터셋 목록 조회
`bigquery_list_tables`	read	BigQuery 데이터셋의 테이블 목록 조회
`bigquery_run_query`	write	BigQuery 읽기 전용 SQL 쿼리 실행 — 단일 SELECT 문만 허용 (API 호출 전 어휘 검사로 SELECT / WITH / FROM(파이프 문법) 으로 시작하는
`ci_cancel_build`	write	진행 중인 빌드를 취소합니다. (GitHub Actions run / GitLab pipeline)
`ci_get_build_status`	write	특정 빌드(GitHub Actions run / GitLab pipeline)의 현재 상태를 조회합니다.
`ci_list_recent_builds`	read	최근 빌드 목록을 조회합니다. 특정 브랜치나 워크플로로 필터링 가능.
`ci_list_workflows`	read
`ci_save_config`	write
`ci_trigger_build`	write
`facebook_current_config`	read	현재 저장된 Facebook 페이지 설정을 확인합니다.
`facebook_get_page`	read	Facebook 페이지 정보 조회 + 저장된 토큰 유효성 검증.
`facebook_list_pages`	read	User Access Token으로 접근 가능한 Facebook 페이지 목록을 조회합니다. 페이지별 Page Access Token도 함께 반환.
`facebook_post_multi_photo`	write
`facebook_post_photo`	write
`facebook_save_config`	write
`firebase_create_android_app`	write	Firebase에 새 Android 앱 등록
`firebase_create_ios_app`	write	Firebase에 새 iOS 앱 등록
`firebase_create_project`	write
`firebase_create_web_app`	write	Firebase에 새 Web 앱 등록
`firebase_delete_android_app`	destructive	Firebase Android 앱 삭제
`firebase_delete_ios_app`	destructive	Firebase iOS 앱 삭제
`firebase_delete_web_app`	destructive	Firebase Web 앱 삭제
`firebase_enable_common_services`	write	Firebase 기본 서비스 일괄 활성화 (Firestore, Auth, Storage, FCM 등)
`firebase_enable_service`	write	GCP 서비스 활성화 (예: firestore.googleapis.com)
`firebase_get_analytics_details`	read	프로젝트의 GA4 링크 상세 — 연결된 analyticsProperty + 앱↔data stream 매핑 조회.
`firebase_get_android_config`	read	google-services.json 다운로드
`firebase_get_ios_config`	read	GoogleService-Info.plist 다운로드
`firebase_get_project`	read	Firebase 프로젝트 상세 정보 조회
`firebase_get_remote_config_overview`	read
`firebase_get_web_config`	read	Firebase Web 설정 (firebaseConfig 객체) 조회
`firebase_link_analytics`	read
`firebase_list_android_apps`	read	Firebase 프로젝트의 Android 앱 목록
`firebase_list_enabled_services`	read	프로젝트에서 활성화된 GCP 서비스 목록
`firebase_list_ios_apps`	read	Firebase 프로젝트의 iOS 앱 목록
`firebase_list_projects`	read	내 Firebase 프로젝트 목록 조회
`firebase_list_web_apps`	read	Firebase 프로젝트의 Web 앱 목록
`ga4_create_bigquery_link`	write	GA4 → BigQuery export 링크 생성. confirm 생략/false 시 읽기 전용 계획만 반환하고, confirm: true 일 때만 계획을 재검사한 뒤 생성한다. 기존 링크가 있으면 no-op.
`ga4_create_data_stream`	write	GA4 property 에 data stream 생성. web → measurementId(G-XXXX) 반환, android/ios → firebaseAppId 반환(Firebase 링크 시). RN 앱은 android/ios 스트림 사용.
`ga4_create_property`	write	새 GA4 property 생성. 생성 후 ga4_create_data_stream 으로 플랫폼별 stream(웹=measurement ID, 앱=firebaseAppId)을 붙인다.
`ga4_list_account_summaries`	read	접근 가능한 Google Analytics 계정 + 각 계정의 GA4 property 요약. accountId / propertyId 를 확인할 때 먼저 호출. analytics.edit 스코프 필요(없으면 재로그인 안내).
`ga4_list_data_streams`	read	GA4 property 의 data stream 목록 (measurementId / firebaseAppId 평탄화).
`ga4_list_properties`	read	특정 GA 계정 하위 GA4 property 목록.
`ga4_plan_bigquery_link`	read	GA4 → BigQuery export 링크 생성 계획을 읽기 전용으로 점검. 기존 링크, 대상 프로젝트, 데이터셋 위치와 export 옵션을 반환하며 원격 상태를 변경하지 않는다.
`ga4_run_report`	write	GA4 Data API 리포트 (활성 사용자·이벤트 등). dimensions/metrics 는 쉼표 구분 GA4 API 이름.
`gcp_create_budget`	write
`gcp_get_billing_info`	read
`gcp_list_billing_projects`	read
`gcp_list_budgets`	read	결제 계정의 예산 목록 (금액·프로젝트 필터·알림 임계). 중복 생성 전 확인용.
`generate_release_notes_from_commits`	read
`generate_review_reply`	read
`googleads_config_status`	read	Google Ads 연동 설정 현황 확인
`googleads_get_campaign_report`	read	기간별 캠페인 성과 리포트 (클릭, 노출, 계정 통화 비용, 전환수, 전환당 비용). 설치 CPI나 코호트 ROAS가 아님.
`googleads_get_uac_report`	read	앱 캠페인(UAC) 비용·전환 리포트. legacy installs/cpi 필드는 일반 전환 기반 별칭이며 설치수·설치 CPI·D7 ROAS로 단정하지 말 것.
`googleads_list_accessible_customers`	read	OAuth 토큰으로 접근 가능한 Google Ads 계정 목록 (API 연결 확인용)
`googleads_list_campaigns`	read	Google Ads 캠페인 목록 조회 (상태, 채널 타입, 일일 예산 포함)
`googleads_save_config`	write	Google Ads API 설정 저장 (Developer Token + 계정 ID). 최초 1회만 필요.
`gsc_get_sitemap`	read	특정 사이트맵 1개의 상세(타입별 submitted/indexed, 경고/오류, 처리 시각) 조회.
`gsc_inspect_url`	read	URL 1개의 실제 색인 상태 검사 (coverageState, robots.txt 허용 여부, 마지막 크롤 시각, 정규 URL, 리치 결과). 사이트맵 리포트보다 정확한 색인 진단의 단일 출처.
`gsc_list_sitemaps`	read	속성에 제출된 사이트맵 목록 (마지막 다운로드 시각, 경고/오류 수, submitted/indexed 카운트). ⚠️ 사이트맵 리포트의 indexed 수치는 신뢰도 낮음 — 실제 색인 여부는 gsc_inspect_url 로 확인.
`gsc_list_sites`	read	Search Console에 등록된(권한 있는) 속성 목록 + 권한 레벨 조회. siteUrl 값을 확인할 때 먼저 호출.
`gsc_search_analytics`	read	검색 성과 데이터 조회 (클릭·노출·CTR·평균순위). dimensions로 query/page/country/device/date/searchAppearance 별 분해. 요약(가중 평균순위 포함) + rows 반환.
`gsc_submit_sitemap`	write	사이트맵을 Search Console에 제출(또는 재제출)해 재크롤을 유도. webmasters read-write 스코프 필요.
`iam_add_iam_policy_binding`	write
`iam_create_key`	write
`iam_create_service_account`	write	새 서비스 계정 생성. accountId는 이메일의 로컬 파트 (예:
`iam_list_keys`	read	주어진 서비스 계정의 기존 키 목록. keyId / keyType / 만료시간 반환. 회수할 키 찾을 때 사용.
`iam_list_service_accounts`	read	주어진 projectId의 서비스 계정 목록. 이메일 / displayName / disabled 상태 반환.
`instagram_get_account`	read	Instagram 계정 정보 조회 + 저장된 토큰 유효성 검증.
`instagram_post_carousel`	write
`instagram_post_image`	write
`instagram_save_config`	write
`jenkins_create_credential`	write
`jenkins_create_job`	write
`jenkins_delete_credential`	destructive
`jenkins_get_build_status`	read	큐에서 배정받은 정확한 job 과 build_number 의 building/result 를 조회합니다. 빌드를 새로 실행하지 않습니다.
`jenkins_get_job_config`	read
`jenkins_get_queue_item`	read
`jenkins_list_credentials`	read
`jenkins_list_jobs`	read
`jenkins_save_config`	write
`jenkins_status`	read
`jenkins_trigger_build`	write
`jenkins_update_job`	write
`jenkins_upload_keystore`	write
`jenkins_upload_playstore_sa`	write
`mimi_seed_auth_start`	write
`mimi_seed_auth_status`	read	Mimi Seed MCP 인증 상태 확인 (만료 시 refresh_token으로 자동 갱신 시도)
`mimi_seed_remote_sync_credentials`	write
`mimi_seed_status`	read
`naver_check_page`	read
`naver_indexnow_submit`	write	네이버 IndexNow 로 새로 만들거나 수정·삭제한 URL 을 즉시 알려 수집을 앞당긴다 (IndexNow 참여 엔진끼리 공유됨). 사전 조건: 사이트 루트에
`playstore_cancel_recovery_action`	read
`playstore_check_submission_risks`	read
`playstore_create_onetime_product`	write
`playstore_create_recovery_action`	write
`playstore_create_subscription`	write
`playstore_delete_all_images`	destructive	Google Play 리스팅 특정 imageType의 이미지 전체 삭제 (교체 전 정리). ⚠️ commit이 Play Console의 미게시 리스팅 변경을 덮어쓸 수 있음.
`playstore_delete_product`	destructive	⚠️ 비가역. Google Play IAP 상품 삭제. 활성 baseplan + 구독자 있는 구독은 삭제 불가.
`playstore_delete_service_account`	destructive	등록된 패키지별 서비스 계정 삭제. default(레거시) SA는 영향 없음.
`playstore_deploy_recovery_action`	write
`playstore_get_app`	read	Google Play 앱 세부정보 조회 — 개발자 연락처(이메일·전화·웹사이트)·기본 언어 등 (edits.details). 수정은 playstore_update_details.
`playstore_get_financial_report`	read
`playstore_get_listing`	read	Google Play 스토어 리스팅 조회 (제목, 설명문 등)
`playstore_get_statistics`	read	Google Play Developer Reporting API / Android vitals 통계 조회. ANR/Crash/Error count를 기간·버전·기기·국가 등으로 분해해 확인
`playstore_list_financial_reports`	read
`playstore_list_images`	read	Google Play 리스팅 이미지 목록 조회 (imageType별)
`playstore_list_inapp_products`	read	Google Play 인앱 상품 목록
`playstore_list_products`	read	Google Play의 모든 IAP 상품(구독 + 일회성) 통합 조회. productId / name / status / type / price / currency 반환.
`playstore_list_recovery_actions`	read
`playstore_list_reviews`	read	Google Play 리뷰 목록 조회. developerComment 가 null 이면 미답변, 답변이 있으면 본문과 수정 시각을 반환한다 (답변은 리뷰당 하나 — playstore_reply_review 는 기존 답변을 교체한다).
`playstore_list_service_accounts`	read	등록된 패키지별 서비스 계정 + default(레거시) SA 정보 요약. clientEmail / projectId 만 노출 (private_key 미노출).
`playstore_list_subscriptions`	read	Google Play 구독 상품 목록
`playstore_list_tracks`	read	Google Play 릴리스 트랙 현황 (프로덕션/베타/알파/내부)
`playstore_plan_release`	read
`playstore_promote_release`	read
`playstore_register_service_account`	read
`playstore_replace_images`	write	Google Play 리스팅 이미지 일괄 교체 (한 edit 세션: deleteall → 순서대로 upload → commit). 스크린샷 5~8장 한 번에 교체 시 효율적. 업로드 순서가 스토어 노출 순서. ⚠️ commit이 Play Console의 미게시 리스팅 변경을 덮어쓸 수 있음.
`playstore_reply_review`	read	Google Play 리뷰에 답변
`playstore_submit_release`	write
`playstore_update_details`	write	Google Play 앱 세부정보(개발자 연락처·기본 언어) 수정 — 연락처 이메일/전화/웹사이트, 기본 언어. 스토어 리스팅(제목·설명)과는 별개이며, 넘긴 필드만 부분 갱신(edits.details.patch). ⚠️ Console 에서 같은 앱을 편집·미게시 중이면 충돌할 수 있음.
`playstore_update_listing`	write	Google Play 스토어 리스팅 수정 또는 새 언어 생성. 기존 언어는 넘긴 필드만 부분 갱신(edits.listings.patch)해 생략한 필드와 프로모 영상(video)을 보존한다. 새 언어는 title·shortDescription·fullDescription을 모두 전달해야 하며 전체 리스팅을 생성한다. ⚠️ Play API 편집과 Console 동시 편집은 충돌 — Console에서 같은 리스팅을 편집·미게시 중이면 그 변경이 덮어써질 수 있음.
`playstore_update_product`	write	Google Play IAP 상품의 표시 이름 변경 (현재 name 필드만 수정 가능). productId / type / 가격은 변경 불가.
`playstore_update_product_listing`	write	Google Play 인앱 상품(소모성/비소모성)의 언어별 제목·설명을 갱신. 넘긴 로케일만 덮어쓰고 나머지 언어는 보존한다.
`playstore_update_product_state`	write	Google Play 인앱 상품의 구매 옵션을 활성화/비활성화 — Play Console 의 DRAFT → 활성 토글.

Trust audit

BLOCKgrade F · trust 57/100 Do not install this without reading the findings. The audit found something that could harm you or your machine.

Layer	What it checks	Result
L0	Provenance & inventory	PASS
L1	Static analysis of the code	FAIL
L2	Instruction surface (what it tells the agent)	PASS
L3	Class-specific surface	WARN
L4	Behavioural (sandbox)	SKIPPED

What the source does

Filesystem: declared (1 observation(s))
Network: declared (2 observation(s))
Shell: declared (4 observation(s))
Dependencies: not all pinned
Secrets in source: found

Findings (25)

HIGHCode injection · code.eval_exec · CWE-78, CWE-94, CWE-95

scripts/install.mjs:48

const r = exec(bin, argv, { cwd, stdio: quiet ? ['ignore', 'pipe', 'pipe'] : 'inherit' });

Why it matters. evaluates text as code

Fix. remove; use a parser or a dispatch table

MEDIUMNetwork egress · net.raw_ip · CWE-200, CWE-319

packages/cli/src/init.ts:153

const callback = `http://127.0.0.1:${port}/cb`;

MEDIUMHard-coded secrets · secret.private_key · CWE-798, CWE-321

packages/mcp-server/src/__tests__/iam-tools.test.ts:93

private_key: '-----BEGIN PRIVATE KEY-----\nredacted-key-material\n-----END PRIVATE KEY-----',

MEDIUMHard-coded secrets · secret.private_key · CWE-798, CWE-321

packages/mcp-server/src/__tests__/remote-sync.test.ts:8

const appStorePrivateKey = '-----BEGIN PRIVATE KEY-----\nredacted-app-store-key\n-----END PRIVATE KEY-----';

MEDIUMHard-coded secrets · secret.private_key · CWE-798, CWE-321

packages/mcp-server/src/__tests__/remote-sync.test.ts:9

const playPrivateKey = '-----BEGIN PRIVATE KEY-----\nredacted-play-key\n-----END PRIVATE KEY-----';

MEDIUMHard-coded secrets · secret.private_key · CWE-798, CWE-321

packages/mcp-server/src/__tests__/secret-output.test.ts:70

const SERVICE_ACCOUNT_PEM = '-----BEGIN PRIVATE KEY-----\nsecret-key-material\n-----END PRIVATE KEY-----\n';

MEDIUMFilesystem / path · mcp.destructive_tools · CWE-22, CWE-59

appstore_delete_preview, appstore_delete_product, appstore_delete_screenshot, appstore_delete_screenshot_set, appstore_remove_review_submission_item, firebase_delete_android_app, firebase_delete_ios_a

Why it matters. 12 tool(s) can delete or overwrite

Fix. prefer a read-only mode or scoped tokens; the page states the blast radius

LOWInventory / provenance · inv.hidden_file · CWE-1104

.codexignore

.codexignore

Why it matters. hidden member outside the usual dotfiles

Fix. review its purpose

LOWInventory / provenance · inv.hidden_file · CWE-1104

plugins/mimi-seed/.codexignore

.codexignore

Why it matters. hidden member outside the usual dotfiles

Fix. review its purpose