[april418]

概要

2026-10-20 に公開された GHSA-587h-7wmj-h5pm により、既存の lockfile が
pnpm audit の high に該当するようになった。lockfile を変えていない
Node 更新 PR (#41) の CI が落ちているのはこれが原因で、Node の変更とは
無関係である。

検出内容

advisory	パッケージ	脆弱な範囲	修正版	依存パス
GHSA-587h-7wmj-h5pm	vite	>=8.0.0 <=8.1.5	>=8.1.6	.>vite (直接依存) および .>@vitest/coverage-v8>vitest>@vitest/mocker>vite

変更内容

vite は直接 devDependency なので、override ではなく package.json の
固定バージョンを修正版の下限である 8.1.6 へ上げた。vitest が使う
vite もこの解決結果に揃うため、追加の override は要らない。

Dependabot の #40 との関係

同じ vite 8.1.6 への更新を Dependabot が #40 で出しているが、あちらの
CI は次のエラーで落ちている。

[ERR_PNPM_MINIMUM_RELEASE_AGE_VIOLATION] 1 lockfile entries failed verification:
  postcss@8.5.31 was published at 2026-10-18T19:36:28.000Z,
  within the minimumReleaseAge cutoff

Dependabot は lockfile を自前の解決で作るため、このリポジトリの
minimumReleaseAge: 10080 を満たさない postcss を引き込んでいる。
postcss の override (postcss@<8.5.18: '>=8.5.18') に上限がないことが
効いている。

この PR では pnpm 11.28.5 でポリシーを有効にしたまま lockfile を再生成
したので、postcss は条件を満たす 8.5.30 に落ち着いている。#40 は
この PR で用意できているため、閉じてよい。

含まれるコミット

• fix(deps): vite を 8.1.6 に上げて high 脆弱性を解消する

検証

ローカル (Node v24.14.1 / pnpm 11.28.5) で実施した。

• pnpm install --frozen-lockfile — 通る
• pnpm audit — exit 0 (No known vulnerabilities found)
• pnpm lint / pnpm test:vitest / pnpm build — 通る

🤖 Generated with Claude Code