allowBuilds:
  '@prisma/engines': true
  esbuild: true
  ffmpeg-static: true
  prisma: true
  sharp: true
  unrs-resolver: false

overrides:
  # GHSA-2v37-7h3g-55p8: DoS bei size=0 in aelteren nanoid-Versionen, ueber
  # postcss/vite transitiv eingezogen (next, @tailwindcss/postcss, vitest).
  nanoid: '>=3.3.18'
  # GHSA-cqhc-2h57-wpxf: mariadb < 3.4.6 leakt das Klartext-Passwort an einen
  # MitM trotz ssl:true. @prisma/adapter-mariadb@7.9.1 (genutzt in
  # lib/db-adapter.ts fuer DATABASE_PROVIDER=mysql) bringt intern eine
  # eigene, veraltete mariadb@3.4.5 mit, die vom direkten mariadb-Eintrag in
  # den dependencies (bereits auf ^3.5.3) NICHT ueberschrieben wird — pnpm
  # haelt dafuer sonst zwei getrennte Kopien vor.
  mariadb: '>=3.4.6'
  # GHSA-rgwj-5xj2-c3m3 u.a.: mysql2 < 3.23.1. Kommt ausschliesslich ueber die
  # prisma-CLI herein (Migrationen/Generate), nicht ueber den Laufzeitpfad der
  # Anwendung — die nutzt bei DATABASE_PROVIDER=mysql den mariadb-Treiber
  # (siehe lib/db-adapter.ts). Trotzdem angehoben, weil prisma bei jedem
  # Containerstart "migrate deploy" ausfuehrt (siehe Dockerfile-CMD) und der
  # Sprung innerhalb derselben Hauptversion bleibt.
  mysql2: '>=3.23.1'
  # GHSA: fast-uri < 3.1.6, transitiv ueber ajv unter der prisma-CLI.
  # Reiner Patch-Sprung innerhalb von 3.1.x.
  fast-uri: '>=3.1.6'
  # deepmerge-ts < 8.0.0, transitiv ueber @prisma/config. Hauptversionssprung,
  # deshalb nach dem Anheben mit "prisma validate" + "prisma generate"
  # geprueft (beide laufen durch @prisma/config).
  deepmerge-ts: '>=8.0.0'