Nick SzaunigandClaude Opus 5.5
835323e466
pnpm audit --prod meldete 1 critical und 8 high: - next 16.3.5 -> 16.3.8 (critical), eslint-config-next mitgezogen - nodemailer 9 -> 10.1.0 (Bruch nur: Node >= 20; Image laeuft auf Node 22) - sharp >= 0.35.5 und source-map-js >= 1.2.2 per Override (transitiv ueber next) - mariadb >= 3.5.4 (direkt und per Override) Neues Script "typecheck" (Prisma-Clients erzeugen, tsc --noEmit) fuer das CI-Gate. Lokal geprueft: lint, typecheck, 674 Tests, next build gruen; audit ohne high. Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>
39 lines
1.8 KiB
YAML
39 lines
1.8 KiB
YAML
allowBuilds:
|
|
'@prisma/engines': true
|
|
esbuild: true
|
|
ffmpeg-static: true
|
|
prisma: true
|
|
sharp: true
|
|
unrs-resolver: false
|
|
|
|
overrides:
|
|
# GHSA-2v37-7h3g-55p8: DoS bei size=0 in aelteren nanoid-Versionen, ueber
|
|
# postcss/vite transitiv eingezogen (next, @tailwindcss/postcss, vitest).
|
|
nanoid: '>=3.3.18'
|
|
# GHSA-cqhc-2h57-wpxf: mariadb < 3.4.6 leakt das Klartext-Passwort an einen
|
|
# MitM trotz ssl:true. @prisma/[email protected] (genutzt in
|
|
# lib/db-adapter.ts fuer DATABASE_PROVIDER=mysql) bringt intern eine
|
|
# eigene, veraltete [email protected] mit, die vom direkten mariadb-Eintrag in
|
|
# den dependencies (bereits auf ^3.5.3) NICHT ueberschrieben wird — pnpm
|
|
# haelt dafuer sonst zwei getrennte Kopien vor. Seit 2026-10-14 >= 3.5.4
|
|
# (neues High-Advisory fuer < 3.5.4, pnpm audit).
|
|
mariadb: '>=3.5.4'
|
|
# sharp < 0.35.5 und source-map-js < 1.2.2 (High-Advisories), beide
|
|
# transitiv ueber next; reine Patch-Spruenge.
|
|
sharp: '>=0.35.5'
|
|
source-map-js: '>=1.2.2'
|
|
# GHSA-rgwj-5xj2-c3m3 u.a.: mysql2 < 3.23.1. Kommt ausschliesslich ueber die
|
|
# prisma-CLI herein (Migrationen/Generate), nicht ueber den Laufzeitpfad der
|
|
# Anwendung — die nutzt bei DATABASE_PROVIDER=mysql den mariadb-Treiber
|
|
# (siehe lib/db-adapter.ts). Trotzdem angehoben, weil prisma bei jedem
|
|
# Containerstart "migrate deploy" ausfuehrt (siehe Dockerfile-CMD) und der
|
|
# Sprung innerhalb derselben Hauptversion bleibt.
|
|
mysql2: '>=3.23.1'
|
|
# GHSA: fast-uri < 3.1.6, transitiv ueber ajv unter der prisma-CLI.
|
|
# Reiner Patch-Sprung innerhalb von 3.1.x.
|
|
fast-uri: '>=3.1.6'
|
|
# deepmerge-ts < 8.0.0, transitiv ueber @prisma/config. Hauptversionssprung,
|
|
# deshalb nach dem Anheben mit "prisma validate" + "prisma generate"
|
|
# geprueft (beide laufen durch @prisma/config).
|
|
deepmerge-ts: '>=8.0.0'
|