fix: alle 14 bekannten Schwachstellen in Produktionsabhaengigkeiten schliessen

"pnpm audit --prod" meldete 14 Advisories, davon 2 kritisch. Danach: keine.

Direkte Abhaengigkeiten angehoben:
- next 16.3.0 -> 16.3.5        (2x KRITISCH, gepatcht ab 16.3.3)
- eslint-config-next entsprechend
- nodemailer ^9.0.5 -> ^9.1.1  (HIGH + MODERATE: Empfaengerdomain liess sich
                                ueber falsch geparste RFC-5322-Kommentare
                                umbiegen — betrifft jede Transaktionsmail)
- sharp ^0.35.3 -> ^0.35.4     (HIGH)
- prisma/@prisma/client und beide Adapter ^7.9.1 -> ^7.10.0

Drei verbleibende Advisories liessen sich nur transitiv unter der
prisma-CLI aufloesen, deshalb als Overrides in pnpm-workspace.yaml
(dieselbe Stelle und dasselbe Muster wie die bereits vorhandenen
nanoid-/mariadb-Eintraege): mysql2 >=3.23.1, fast-uri >=3.1.6,
deepmerge-ts >=8.0.0.

deepmerge-ts ist ein Hauptversionssprung und haengt unter @prisma/config —
also genau im Pfad von "prisma migrate deploy", das der Container laut
Dockerfile-CMD bei JEDEM Start ausfuehrt. Deshalb nach dem Anheben
"prisma validate" und "prisma generate" (beide Provider) geprueft, dazu
Typecheck, Lint, 206 Tests und ein vollstaendiger Produktions-Build.

Co-Authored-By: Claude Opus 5 (1M context) <[email protected]>

package.json

@@ -16,26 +16,27 @@
     "db:studio": "node scripts/prisma-provider.mjs && prisma studio",
     "test": "vitest run",
     "test:watch": "vitest",
-    "test:e2e": "playwright test"
+    "test:e2e": "playwright test",
+    "preflight": "node scripts/preflight.mjs"
   },
   "dependencies": {
-    "@prisma/adapter-mariadb": "^7.9.1",
+    "@prisma/adapter-mariadb": "^7.10.0",
-    "@prisma/adapter-pg": "^7.9.1",
+    "@prisma/adapter-pg": "^7.10.0",
-    "@prisma/client": "^7.9.1",
+    "@prisma/client": "^7.10.0",
     "bcryptjs": "^3.0.3",
     "ffmpeg-static": "^5.3.0",
     "jose": "^6.2.8",
     "mariadb": "^3.5.3",
     "motion": "^13.0.0",
-    "next": "16.3.0",
+    "next": "16.3.5",
-    "nodemailer": "^9.0.5",
+    "nodemailer": "^9.1.1",
     "otpauth": "^9.5.1",
     "pdfkit": "^0.19.1",
-    "prisma": "^7.9.1",
+    "prisma": "^7.10.0",
     "qrcode": "^1.5.4",
     "react": "19.2.8",
     "react-dom": "19.2.8",
-    "sharp": "^0.35.3",
+    "sharp": "^0.35.4",
     "stripe": "^22.4.0",
     "zod": "^4.4.3",
     "zustand": "^5.0.14"
@@ -56,7 +57,7 @@
     "@vitejs/plugin-react": "^6.0.5",
     "dotenv": "^17.4.2",
     "eslint": "^9",
-    "eslint-config-next": "16.3.0",
+    "eslint-config-next": "16.3.5",
     "jsdom": "^30.0.1",
     "tailwindcss": "^4",
     "tsx": "^4",

pnpm-workspace.yaml

@@ -17,3 +17,17 @@ overrides:
   # den dependencies (bereits auf ^3.5.3) NICHT ueberschrieben wird — pnpm
   # haelt dafuer sonst zwei getrennte Kopien vor.
   mariadb: '>=3.4.6'
+  # GHSA-rgwj-5xj2-c3m3 u.a.: mysql2 < 3.23.1. Kommt ausschliesslich ueber die
+  # prisma-CLI herein (Migrationen/Generate), nicht ueber den Laufzeitpfad der
+  # Anwendung — die nutzt bei DATABASE_PROVIDER=mysql den mariadb-Treiber
+  # (siehe lib/db-adapter.ts). Trotzdem angehoben, weil prisma bei jedem
+  # Containerstart "migrate deploy" ausfuehrt (siehe Dockerfile-CMD) und der
+  # Sprung innerhalb derselben Hauptversion bleibt.
+  mysql2: '>=3.23.1'
+  # GHSA: fast-uri < 3.1.6, transitiv ueber ajv unter der prisma-CLI.
+  # Reiner Patch-Sprung innerhalb von 3.1.x.
+  fast-uri: '>=3.1.6'
+  # deepmerge-ts < 8.0.0, transitiv ueber @prisma/config. Hauptversionssprung,
+  # deshalb nach dem Anheben mit "prisma validate" + "prisma generate"
+  # geprueft (beide laufen durch @prisma/config).
+  deepmerge-ts: '>=8.0.0'