Repository navigation
fix(deps): node-forge 1.4.2 + Audit-Allowlist (decode-uri-component) - #374
Merged
Merged
Conversation
Behebt GHSA-7wch-p9px-956x, GHSA-jc66-7q78-782g, GHSA-8hrf-8g6f-7xwp, GHSA-hqq3-7jhf-c5jx, GHSA-5x38-2vff-x55p. Nur Build-Tooling (expo -> @expo/cli), gezielt per npm update statt audit fix. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
🔀 Mergeability-Report✅ Konfliktfrei mergebar ( CI-Checks: ✅ keine fehlgeschlagenen Checks ⏳ mergeability / mergeability Merge-Checkliste
Kostenlos generiert von reusable-mergeability.yml · keine API-Kosten · review-gate: |
2 of 5 tasks
…e-forge-Eintrag entfernen GHSA-qr28-fpjm-wq7f: Fix nur in decode-uri-component 0.5.1 (ESM-only, inkompatibel mit query-string@7 aus expo-router) bzw. expo-router 58 (SDK-Major). Befristet bis 2026-12-31, mit dem nächsten SDK-Upgrade auflösen. GHSA-86w9-cpqp-85rv ist durch node-forge 1.4.2 behoben. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
S540d
changed the title
S540d
added a commit
that referenced
this pull request
Nov 3, 2026
Release-PR für **v1.9.0 / versionCode 71**: Play Store steht auf 1.8.0 / vc69, vc70 wurde nie veröffentlicht. >⚠️ **Nicht mergen ohne ausdrückliche Freigabe.** Merge auf `main` löst sofort den GitHub-Pages-Deploy aus (`deploy.yml`). Die Web-Demo geht damit zu 100 % live, unabhängig vom gestaffelten Play-Store-Rollout. ## Inhalt Vollständige Liste im `CHANGELOG.md` unter `[1.9.0]`. Die wichtigsten Punkte: **Neu:** Pause-Vorschlag alle 5 Level, Impressum/Datenschutz im Über-Dialog (7 Sprachen), Micro-Animationen, Web-Auffindbarkeit und Play-Store-Attribution **Geändert:** neues App-Icon/Splash (Haus-Motiv), Design-System Blau statt Violett, Einstellungen gruppiert, Startseite entschlackt, ruhiger Merke-Timer, Replay- und Web-Canvas-Performance **Behoben:** Konfetti/Abzeichen bei gleicher Sternzahl, Darkmode-Sichtbarkeit, Galerie-Status beim Neustart, Web-Fills bei gebrochener Canvas-Breite, PWA-Tags/Icons **Security:** diverse `npm audit fix`, Audit-Gate mit befristeter Allowlist ## Status vor Merge - [x] `package.json` / `app.json`: 1.9.0, versionCode 71 - [x] Lokal: `tsc` ✅, Lint ✅, 52 Suites / 482 Tests ✅ - [ ] **Audit-Gate:** neue High-Advisories seit 2026-10-29 - node-forge → Fix in #374 (gegen `testing`) - decode-uri-component (GHSA-qr28-fpjm-wq7f, via expo-router → query-string) → Entscheidung offen - [ ] CHANGELOG-Datum `[1.9.0] - TBD` setzen - [ ] Dependabot-PR #373 (zod/expo, gegen `main`) schließen; zod ist bereits auf `testing` adressiert ## Nach dem Merge 1. AAB aus `main` bauen (production, vc71) 2. Play Console: Produktion, **gestaffelte Einführung 10 %** 3. Tag `v1.9.0` setzen 4. Android Vitals einige Tage beobachten, dann Anteil erhöhen 🤖 Generated with [Claude Code](https://claude.com/claude-code) --------- Co-authored-by: S540d <S540d@users.noreply.github.com> Co-authored-by: Claude Opus 4.8 <noreply@anthropic.com>
5 of 8 tasks
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
Neue High-Advisories seit 2026-10-29 ließen das Audit-Gate scheitern und blockierten den Release-PR #375.
node-forge1.4.0 → 1.4.2 (nur Build-Tooling viaexpo -> @expo/cli), gezielt pernpm update node-forge(6 Zeilen Lockfile-Diff statt ~1.400 beinpm audit fix). Behebt GHSA-7wch-p9px-956x, GHSA-jc66-7q78-782g, GHSA-8hrf-8g6f-7xwp, GHSA-hqq3-7jhf-c5jx, GHSA-5x38-2vff-x55p und das bisher zugelassene GHSA-86w9-cpqp-85rv (Allowlist-Eintrag entfernt).decode-uri-componentviaexpo-router -> query-string@7) befristet bis 2026-12-31 zugelassen (Entscheidung des Nutzers). Ausnahme von der Allowlist-Regel: Das Paket liegt im App-Bundle. Der Fix erfordert decode-uri-component 0.5.1 (ESM-only, inkompatibel) bzw. expo-router 58 (SDK-Major). Das Risiko ist gering, weil nur clientseitiges URL-Parsen betroffen ist. Mit dem nächsten SDK-Upgrade auflösen.Audit-Gate lokal: ✅ (2 akzeptierte, 0 offene high+). Tests: 482 grün.
🤖 Generated with Claude Code