WealthLedger/frontend
5
0
Fork 0
Code Issues 3 Pull Requests Actions Packages Projects Releases Wiki Activity

chore(deps): resolve minimatch and glob audit advisories (WealthLedger/main#49) #128

Merged
codex-bot merged 1 commits from chore/49-audit-dev-deps into develop 2026-11-01 19:13:03 +03:00
Conversation 0 Commits 1 Files Changed 8
+84 -139
codex-bot commented 2026-11-01 19:00:00 +03:00
Owner
Copy Link
Copy Source

Summary

Устраняет moderate advisories в dev-зависимостях (GHSA-g3hv-75wg-m249 minimatch, GHSA-3g3m-2fjr-6pw4 glob), которые блокируют security CI, в т.ч. WealthLedger/frontend#127.

Linked Issue

WealthLedger/main#49; related WealthLedger/main#48, WealthLedger/frontend#127.

Changes

  • minimatch 11.0.2 для всего дерева через локальный пакет scripts/minimatch-compat (override "minimatch": "$minimatch"). Шим реэкспортирует minimatch 11 и добавляет makeRe, который удалён в 11, но статически импортируется eslint-plugin-import-x@4.17.1 (последняя версия и upstream master). Единственный вызывающий — правило no-internal-modules (в конфиге не включено) — использует только .test(), поэтому шим возвращает matcher-объект. Помечен ponytail: — удалить, когда import-x поддержит minimatch 11.
  • glob override 14.0.3; vite-plugin-pwa 1.3.0 → 2.0.0 (peer/API совместимы, сборка и PWA-артефакты проходят).
  • Dockerfile и .dockerignore: шим копируется до npm ci. knip: minimatch в ignoreDependencies (нужен только для override).

Verification

  • npm ci --ignore-scripts — OK
  • npm audit --include=dev --audit-level=moderate — exit 0 (остаются 4 low: deepmerge GHSA-gcqx-w48m-w2h4 через workbox-build, upstream-фикса нет; порог CI moderate)
  • npm run verify — OK (530 тестов, lint, typecheck, knip, depcruise, build, Storybook). Один прогон упал на известном плавающем AppRoutes тесте; в изоляции 3/3 зелёные, повторный verify зелёный.
  • docker build --target build — OK
  • git diff --check — OK

Breaking Changes

Нет: только dev tooling.

## Summary Устраняет moderate advisories в dev-зависимостях (GHSA-g3hv-75wg-m249 minimatch, GHSA-3g3m-2fjr-6pw4 glob), которые блокируют security CI, в т.ч. WealthLedger/frontend#127. ## Linked Issue WealthLedger/main#49; related WealthLedger/main#48, WealthLedger/frontend#127. ## Changes - `minimatch` 11.0.2 для всего дерева через локальный пакет `scripts/minimatch-compat` (override `"minimatch": "$minimatch"`). Шим реэкспортирует minimatch 11 и добавляет `makeRe`, который удалён в 11, но статически импортируется `eslint-plugin-import-x@4.17.1` (последняя версия и upstream master). Единственный вызывающий — правило `no-internal-modules` (в конфиге не включено) — использует только `.test()`, поэтому шим возвращает matcher-объект. Помечен `ponytail:` — удалить, когда import-x поддержит minimatch 11. - `glob` override 14.0.3; `vite-plugin-pwa` 1.3.0 → 2.0.0 (peer/API совместимы, сборка и PWA-артефакты проходят). - Dockerfile и `.dockerignore`: шим копируется до `npm ci`. `knip`: `minimatch` в ignoreDependencies (нужен только для override). ## Verification - `npm ci --ignore-scripts` — OK - `npm audit --include=dev --audit-level=moderate` — exit 0 (остаются 4 low: deepmerge GHSA-gcqx-w48m-w2h4 через workbox-build, upstream-фикса нет; порог CI moderate) - `npm run verify` — OK (530 тестов, lint, typecheck, knip, depcruise, build, Storybook). Один прогон упал на известном плавающем `AppRoutes` тесте; в изоляции 3/3 зелёные, повторный verify зелёный. - `docker build --target build` — OK - `git diff --check` — OK ## Breaking Changes Нет: только dev tooling.
codex-bot added 1 commit 2026-11-01 19:00:00 +03:00
chore(deps): resolve minimatch and glob audit advisories (WealthLedger/main#49)
Frontend verify / commits (pull_request) Successful in 35s
Details
Frontend verify / security (pull_request) Successful in 14s
Details
Frontend verify / verify (pull_request) Successful in 5m56s
Details
83a25ea16f
codex-bot merged commit 7242240b21 into develop 2026-11-01 19:13:03 +03:00
codex-bot deleted branch chore/49-audit-dev-deps 2026-11-01 19:13:03 +03:00
Sign in to join this conversation.
Reviewers
No Reviewers
Labels
Clear labels
Kind/Dependencies
Dependency update or dependency-management work
 Kind/Investigation
Research or decision required before implementation
 Kind/Process
Developer workflow, CI/CD, tooling, or process improvement
 Kind/Refactor
Internal code or configuration restructuring without new product behavior
 audit/2026-10-11
Technical Audit Remediation — 2026-10-11
 kind/investigation
Нужна проверка evidence до решения; runtime-дефект не утверждается
Compat/Breaking
Breaking change that won't be backward compatible
 Kind/Bug
Something is not working
 Kind/Documentation
Documentation changes
 Kind/Enhancement
Improve existing functionality
 Kind/Feature
New functionality
 Kind/Security
This is security issue
 Kind/Testing
Issue or pull request related to testing
Priority
Critical
1
The priority is critical
Priority
High
2
The priority is high
Priority
Medium
3
The priority is medium
Priority
Low
4
The priority is low
Reviewed
Confirmed
1
Issue has been confirmed
Reviewed
Duplicate
2
This issue or pull request already exists
Reviewed
Invalid
3
Invalid issue
Reviewed
Won't Fix
3
This issue won't be fixed
Status
Blocked
1
Something is blocking this issue or pull request
Status
Need More Info
2
Feedback is required to reproduce issue or to continue work
Status
Abandoned
3
Somebody has started to work on this but abandoned work
No labels
Milestone
No items
No Milestone
Projects
Clear projects
No projects
Assignees
Clear assignees
codex-bot hermes-agent ksv741 publisher-bot renovate-bot
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: WealthLedger/frontend#128