com.qmailing/mcp-server

需要敏感凭证 QMAILING_API_TOKEN；若泄露，可能被用于读取/发送邮件及管理邮箱、域名、webhook，对业务通信与配置造成影响。材料未显示异常索权，但应视为高价值 API 密钥并最小化权限范围。

声明连接 qmailing.com，且其功能决定会通过 QMailing API 传输邮件内容、邮箱配置、域名或 webhook 相关数据到该服务。这属于其预期外联对象，未见向不明或无关端点外发的红旗。

系统标记为可执行代码/起进程；对 MCP 工具而言这是常见运行形态。现有材料未显示其申请超出 API 集成所需的系统级权限，也未见可疑命令执行描述，但仍应在受限环境运行。

按描述可访问邮件、邮箱、域名和 webhook 相关资源，数据敏感度较高，但与其声明能力一致。材料未说明需要广泛本地文件读写或无关资源访问，因此未见明显过度授权迹象。

来源于官方 Registry，且有可审计的开源仓库，近一年内有更新，这些都是明显的正面信号。虽然 README 缺失、许可证未声明且社区 star 很低，增加了可用性与治理层面的不确定性，但基于现有事实未见供应链高风险红旗。