io.github.cyanheads/reliefweb-mcp-server

材料显示需要 RELIEFWEB_APP_NAME 和 MCP_LOG_LEVEL。按名称看更像应用标识与日志级别，而非高敏感密钥；但仍通过环境变量注入，若运行环境暴露或日志配置不当，存在被泄露或误用的基础风险。

工具声明会连接 reliefweb.caseyjhand.com 以执行 ReliefWeb 搜索，这是其功能所需的常规联网行为。材料未说明是否还会向其他无关端点发送数据，也未见明确的数据外传红旗；但用户查询内容通常会被发送到该远端服务处理。

系统检查项表明其会执行代码/作为本地 MCP 服务进程运行，这是此类工具的固有能力。提供材料未显示其申请异常系统权限、执行与声明功能无关的命令，故应视为常规本机执行风险而非高风险。

材料仅说明其提供搜索 ReliefWeb 内容的能力，未见 README 说明会读写特定本地文件、数据库或广泛系统资源。由于作为 MCP 工具运行，仍应默认其可能接触到会话输入与运行环境变量，但当前材料未显示明显过度授权。

来源位于官方 Registry，且有公开源码仓库、近一年内有更新，这些都是降低风险的正面证据。虽然社区星标较少且许可证未声明，审计透明度与采用度一般，但基于现有事实未见明显供应链红旗。