Schließt den seit PR #117 (OPS-11) offen dokumentierten Punkt: vorbestehende kritische npm audit-Funde in 6 Web-Apps (dms-browser, dms-upload, kennzahlen-dashboard, mail-search, retention-admin, pdf-viewer) durch die vitest/vite/esbuild-Entwicklungsserver-RCE-Kette, bei pdf-viewer zusätzlich canvas/tar über eine alte jsdom-Version. shl (CI-Matrix) zusätzlich mitgefixt, hatte dieselbe Kette.
Prüfungen (alle Apps, Details in docs/NPM-AUDIT-FIX-PRUEFPROTOKOLL.md):
Schließt den seit PR #117 (OPS-11) offen dokumentierten Punkt: vorbestehende kritische `npm audit`-Funde in 6 Web-Apps (`dms-browser`, `dms-upload`, `kennzahlen-dashboard`, `mail-search`, `retention-admin`, `pdf-viewer`) durch die vitest/vite/esbuild-Entwicklungsserver-RCE-Kette, bei `pdf-viewer` zusätzlich `canvas`/`tar` über eine alte `jsdom`-Version. `shl` (CI-Matrix) zusätzlich mitgefixt, hatte dieselbe Kette.
**Prüfungen (alle Apps, Details in `docs/NPM-AUDIT-FIX-PRUEFPROTOKOLL.md`):**
- `npm audit`: 4–10 Funde je App vorher, 0 nachher (alle 7 Pakete)
- `vitest run`: keine Testregression, Zahlen unverändert oder höher
- `tsc --noEmit`: sauber
- `next build`: sauber (außer `shl`, reine Bibliothek ohne Build)
Nur Entwicklungsabhängigkeiten betroffen, kein Produktions- oder Build-Risiko.
Kein Merge, keine Freigabe zum Zusammenführen.
🤖 Generated with [Claude Code](https://claude.com/claude-code)
patrick
added 2 commits 2026-09-22 20:20:28 +02:00
vitest 2.0.5 -> 5.0.1 in allen betroffenen Apps (dms-browser, dms-upload,
kennzahlen-dashboard, mail-search, retention-admin, pdf-viewer) sowie shl
(CI-Matrix). pdf-viewer zusaetzlich jsdom 24 -> 29 (entfernt canvas/tar-Kette).
@types/node auf 22 gehoben (vitest-5-Peer-Dependency), @testing-library/jest-dom
auf 7.0.1 (vitest-5-Typaugmentierung), esbuild.jsx-Workaround in vitest.config.ts
entfernt (von Vite/esbuild-Option-Konflikt, ueberfluessig seit tsconfig jsx
bereits react-jsx setzt). Neue vitest.d.ts in dms-browser/pdf-viewer fuer
jest-axe-Matcher-Typisierung (@types/jest-axe augmentiert Jest-Namespace,
nicht Vitest 5s Assertion-Interface).
0 verbleibende npm-audit-Funde in allen 7 Paketen (vorher 4-10 je App).
Nur Entwicklungsabhaengigkeiten betroffen, kein Produktionsrisiko.
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
Schließt den seit PR #117 (OPS-11) offen dokumentierten Punkt: vorbestehende kritische
npm audit-Funde in 6 Web-Apps (dms-browser,dms-upload,kennzahlen-dashboard,mail-search,retention-admin,pdf-viewer) durch die vitest/vite/esbuild-Entwicklungsserver-RCE-Kette, beipdf-viewerzusätzlichcanvas/tarüber eine altejsdom-Version.shl(CI-Matrix) zusätzlich mitgefixt, hatte dieselbe Kette.Prüfungen (alle Apps, Details in
docs/NPM-AUDIT-FIX-PRUEFPROTOKOLL.md):npm audit: 4–10 Funde je App vorher, 0 nachher (alle 7 Pakete)vitest run: keine Testregression, Zahlen unverändert oder höhertsc --noEmit: saubernext build: sauber (außershl, reine Bibliothek ohne Build)Nur Entwicklungsabhängigkeiten betroffen, kein Produktions- oder Build-Risiko.
Kein Merge, keine Freigabe zum Zusammenführen.
🤖 Generated with Claude Code
Pull request closed