From 445e91f915e8cc3d9fbf114d09806bdce63ccbd7 Mon Sep 17 00:00:00 2001 From: S540d Date: Tue, 3 Nov 2026 09:06:32 +0100 Subject: [PATCH 1/2] =?UTF-8?q?fix(deps):=20node-forge=201.4.0=20=E2=86=92?= =?UTF-8?q?=201.4.2=20(5=20high=20Advisories)?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Behebt GHSA-7wch-p9px-956x, GHSA-jc66-7q78-782g, GHSA-8hrf-8g6f-7xwp, GHSA-hqq3-7jhf-c5jx, GHSA-5x38-2vff-x55p. Nur Build-Tooling (expo -> @expo/cli), gezielt per npm update statt audit fix. Co-Authored-By: Claude Opus 5.5 --- package-lock.json | 6 +++--- 1 file changed, 3 insertions(+), 3 deletions(-) diff --git a/package-lock.json b/package-lock.json index 67597fb..8b155ba 100644 --- a/package-lock.json +++ b/package-lock.json @@ -11084,9 +11084,9 @@ } }, "node_modules/node-forge": { - "version": "1.4.0", - "resolved": "https://registry.npmjs.org/node-forge/-/node-forge-1.4.0.tgz", - "integrity": "sha512-LarFH0+6VfriEhqMMcLX2F7SwSXeWwnEAJEsYm5QKWchiVYVvJyV9v7UDvUv+w5HO23ZpQTXDv/GxdDdMyOuoQ==", + "version": "1.4.2", + "resolved": "https://registry.npmjs.org/node-forge/-/node-forge-1.4.2.tgz", + "integrity": "sha512-rRtAR5XLJ8gCKd9du4qrKAsgCG1ObGP4gLeNJMa4vYSeq4bmBMOJk5IHkrviBV0q7uoAJlVd8HEQYQSVUb4FGQ==", "license": "(BSD-3-Clause OR GPL-2.0)", "engines": { "node": ">= 6.13.0" From a537c12ca67a224c06d6e86713a336849a389cce Mon Sep 17 00:00:00 2001 From: S540d Date: Tue, 3 Nov 2026 09:59:38 +0100 Subject: [PATCH 2/2] chore(audit): decode-uri-component befristet zulassen, erledigten node-forge-Eintrag entfernen MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit GHSA-qr28-fpjm-wq7f: Fix nur in decode-uri-component 0.5.1 (ESM-only, inkompatibel mit query-string@7 aus expo-router) bzw. expo-router 58 (SDK-Major). Befristet bis 2026-12-31, mit dem nächsten SDK-Upgrade auflösen. GHSA-86w9-cpqp-85rv ist durch node-forge 1.4.2 behoben. Co-Authored-By: Claude Opus 5.5 --- .audit-allowlist.json | 14 +++++++------- 1 file changed, 7 insertions(+), 7 deletions(-) diff --git a/.audit-allowlist.json b/.audit-allowlist.json index 6135b93..d1f1ed0 100644 --- a/.audit-allowlist.json +++ b/.audit-allowlist.json @@ -1,17 +1,17 @@ { - "_comment": "Befristete Ausnahmen für scripts/audit-gate.mjs. Nur Findings ohne Upstream-Fix im Build-Tooling (nicht im App-Bundle). Nach Ablauf schlägt das Gate fehl -> neu bewerten (DrawFromMemory#348).", + "_comment": "Befristete Ausnahmen für scripts/audit-gate.mjs. Grundsätzlich nur Findings ohne Upstream-Fix im Build-Tooling (nicht im App-Bundle); Ausnahmen davon sind im reason begründet. Nach Ablauf schlägt das Gate fehl -> neu bewerten (DrawFromMemory#348).", "advisories": [ - { - "id": "GHSA-86w9-cpqp-85rv", - "package": "node-forge", - "reason": "RSA PKCS#1 v1.5: kein gepatchter Release; nur via expo -> @expo/cli (Build-Tooling)", - "expires": "2026-12-31" - }, { "id": "GHSA-mrhx-c7xc-m3w5", "package": "zod", "reason": "Speicher-DoS bei übergroßen Collections: nur noch zod@3 via expo -> @expo/cli (Build-Tooling, validiert lokale Konfiguration); kein gepatchter 3.x-Release, @expo/cli verlangt ^3.25.76. Root-zod (eslint-plugin-react-hooks) auf 4.6.7 gehoben.", "expires": "2026-12-31" + }, + { + "id": "GHSA-qr28-fpjm-wq7f", + "package": "decode-uri-component", + "reason": "Quadratische Laufzeit bei langen %-kodierten Sequenzen. AUSNAHME: im App-Bundle (expo-router -> query-string@7 -> decode-uri-component@0.2.2). Fix erst in 0.5.1 (ESM-only, inkompatibel mit query-string@7); npm audit schlägt nur expo-router 58 (SDK-Major) vor. Risiko gering: betrifft nur das Parsen von App-URLs/Deep-Links auf dem Gerät des Nutzers selbst (kein Server). Mit dem nächsten SDK-Upgrade auflösen.", + "expires": "2026-12-31" } ] }