Nick SzaunigandClaude Opus 5
c50e5e0e08
"pnpm audit --prod" meldete 14 Advisories, davon 2 kritisch. Danach: keine.
Direkte Abhaengigkeiten angehoben:
- next 16.3.0 -> 16.3.5 (2x KRITISCH, gepatcht ab 16.3.3)
- eslint-config-next entsprechend
- nodemailer ^9.0.5 -> ^9.1.1 (HIGH + MODERATE: Empfaengerdomain liess sich
ueber falsch geparste RFC-5322-Kommentare
umbiegen — betrifft jede Transaktionsmail)
- sharp ^0.35.3 -> ^0.35.4 (HIGH)
- prisma/@prisma/client und beide Adapter ^7.9.1 -> ^7.10.0
Drei verbleibende Advisories liessen sich nur transitiv unter der
prisma-CLI aufloesen, deshalb als Overrides in pnpm-workspace.yaml
(dieselbe Stelle und dasselbe Muster wie die bereits vorhandenen
nanoid-/mariadb-Eintraege): mysql2 >=3.23.1, fast-uri >=3.1.6,
deepmerge-ts >=8.0.0.
deepmerge-ts ist ein Hauptversionssprung und haengt unter @prisma/config —
also genau im Pfad von "prisma migrate deploy", das der Container laut
Dockerfile-CMD bei JEDEM Start ausfuehrt. Deshalb nach dem Anheben
"prisma validate" und "prisma generate" (beide Provider) geprueft, dazu
Typecheck, Lint, 206 Tests und ein vollstaendiger Produktions-Build.
Co-Authored-By: Claude Opus 5 (1M context) <[email protected]>
34 lines
1.5 KiB
YAML
34 lines
1.5 KiB
YAML
allowBuilds:
|
|
'@prisma/engines': true
|
|
esbuild: true
|
|
ffmpeg-static: true
|
|
prisma: true
|
|
sharp: true
|
|
unrs-resolver: false
|
|
|
|
overrides:
|
|
# GHSA-2v37-7h3g-55p8: DoS bei size=0 in aelteren nanoid-Versionen, ueber
|
|
# postcss/vite transitiv eingezogen (next, @tailwindcss/postcss, vitest).
|
|
nanoid: '>=3.3.18'
|
|
# GHSA-cqhc-2h57-wpxf: mariadb < 3.4.6 leakt das Klartext-Passwort an einen
|
|
# MitM trotz ssl:true. @prisma/[email protected] (genutzt in
|
|
# lib/db-adapter.ts fuer DATABASE_PROVIDER=mysql) bringt intern eine
|
|
# eigene, veraltete [email protected] mit, die vom direkten mariadb-Eintrag in
|
|
# den dependencies (bereits auf ^3.5.3) NICHT ueberschrieben wird — pnpm
|
|
# haelt dafuer sonst zwei getrennte Kopien vor.
|
|
mariadb: '>=3.4.6'
|
|
# GHSA-rgwj-5xj2-c3m3 u.a.: mysql2 < 3.23.1. Kommt ausschliesslich ueber die
|
|
# prisma-CLI herein (Migrationen/Generate), nicht ueber den Laufzeitpfad der
|
|
# Anwendung — die nutzt bei DATABASE_PROVIDER=mysql den mariadb-Treiber
|
|
# (siehe lib/db-adapter.ts). Trotzdem angehoben, weil prisma bei jedem
|
|
# Containerstart "migrate deploy" ausfuehrt (siehe Dockerfile-CMD) und der
|
|
# Sprung innerhalb derselben Hauptversion bleibt.
|
|
mysql2: '>=3.23.1'
|
|
# GHSA: fast-uri < 3.1.6, transitiv ueber ajv unter der prisma-CLI.
|
|
# Reiner Patch-Sprung innerhalb von 3.1.x.
|
|
fast-uri: '>=3.1.6'
|
|
# deepmerge-ts < 8.0.0, transitiv ueber @prisma/config. Hauptversionssprung,
|
|
# deshalb nach dem Anheben mit "prisma validate" + "prisma generate"
|
|
# geprueft (beide laufen durch @prisma/config).
|
|
deepmerge-ts: '>=8.0.0'
|