fix: alle 14 bekannten Schwachstellen in Produktionsabhaengigkeiten schliessen

"pnpm audit --prod" meldete 14 Advisories, davon 2 kritisch. Danach: keine.

Direkte Abhaengigkeiten angehoben:
- next 16.3.0 -> 16.3.5        (2x KRITISCH, gepatcht ab 16.3.3)
- eslint-config-next entsprechend
- nodemailer ^9.0.5 -> ^9.1.1  (HIGH + MODERATE: Empfaengerdomain liess sich
                                ueber falsch geparste RFC-5322-Kommentare
                                umbiegen — betrifft jede Transaktionsmail)
- sharp ^0.35.3 -> ^0.35.4     (HIGH)
- prisma/@prisma/client und beide Adapter ^7.9.1 -> ^7.10.0

Drei verbleibende Advisories liessen sich nur transitiv unter der
prisma-CLI aufloesen, deshalb als Overrides in pnpm-workspace.yaml
(dieselbe Stelle und dasselbe Muster wie die bereits vorhandenen
nanoid-/mariadb-Eintraege): mysql2 >=3.23.1, fast-uri >=3.1.6,
deepmerge-ts >=8.0.0.

deepmerge-ts ist ein Hauptversionssprung und haengt unter @prisma/config —
also genau im Pfad von "prisma migrate deploy", das der Container laut
Dockerfile-CMD bei JEDEM Start ausfuehrt. Deshalb nach dem Anheben
"prisma validate" und "prisma generate" (beide Provider) geprueft, dazu
Typecheck, Lint, 206 Tests und ein vollstaendiger Produktions-Build.

Co-Authored-By: Claude Opus 5 (1M context) <[email protected]>

pnpm-workspace.yaml

@@ -17,3 +17,17 @@ overrides:
   # den dependencies (bereits auf ^3.5.3) NICHT ueberschrieben wird — pnpm
   # haelt dafuer sonst zwei getrennte Kopien vor.
   mariadb: '>=3.4.6'
+  # GHSA-rgwj-5xj2-c3m3 u.a.: mysql2 < 3.23.1. Kommt ausschliesslich ueber die
+  # prisma-CLI herein (Migrationen/Generate), nicht ueber den Laufzeitpfad der
+  # Anwendung — die nutzt bei DATABASE_PROVIDER=mysql den mariadb-Treiber
+  # (siehe lib/db-adapter.ts). Trotzdem angehoben, weil prisma bei jedem
+  # Containerstart "migrate deploy" ausfuehrt (siehe Dockerfile-CMD) und der
+  # Sprung innerhalb derselben Hauptversion bleibt.
+  mysql2: '>=3.23.1'
+  # GHSA: fast-uri < 3.1.6, transitiv ueber ajv unter der prisma-CLI.
+  # Reiner Patch-Sprung innerhalb von 3.1.x.
+  fast-uri: '>=3.1.6'
+  # deepmerge-ts < 8.0.0, transitiv ueber @prisma/config. Hauptversionssprung,
+  # deshalb nach dem Anheben mit "prisma validate" + "prisma generate"
+  # geprueft (beide laufen durch @prisma/config).
+  deepmerge-ts: '>=8.0.0'