fix(deps): nanoid を 3.3.18 へ更新する (GHSA-2v37-7h3g-55p8) - #157
Merged
Conversation
nanoid 3.3.16 以前は、size に 0 を渡したときカスタムジェネレータが 無限ループする（GHSA-2v37-7h3g-55p8, high, 2026-07-29 公開）。 修正版 3.3.17 は 2026-08-03 に公開されている。 postcss 経由の推移的依存で、postcss の要求レンジは ^3.3.x のため package-lock.json の更新だけで解消する。package.json は変更していない。 CALIL org の active な npm リポジトリを横断確認したところ、 28 リポジトリ・30 マニフェストが 3.3.16 のまま残っていた。 Dependabot のアラートは発火しておらず（org 全体で 2 件のみ、 いずれも別リポジトリ）、待っていても更新されない状態だったため まとめて対応する。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
1 participant
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
何を直すか
nanoidを 3.3.16 から 3.3.18 へ更新します。package-lock.jsonのみの変更で、package.jsonは触っていません。なぜ
sizeに 0 を渡したときカスタムジェネレータが無限ループする< 3.3.173.3.17（2026-08-03 公開）postcss経由の推移的依存です。postcss の要求レンジは^3.3.xなので、lockfile を更新するだけで解消し、メジャー更新も peer 依存の変更も発生しません。Dependabot では直らない
CALIL org の active な npm リポジトリ 64 件を横断確認したところ、28 リポジトリ・30 マニフェストが 3.3.16 のまま残っていました。一方この advisory による Dependabot アラートは org 全体で 2 件しか発火しておらず（tankan / unilend）、残りは GitHub の dependency graph が
nanoid 3.3.16を認識しているにもかかわらずアラートが立っていません。待っていても更新されないため、横断的に対応しています。確認したこと
package-lock.jsonのnanoidエントリだけに閉じていることlockfileVersionが変わっていないことnanoid < 3.3.17が残っていないことresolved/integrityは npm registry のnanoid@3.3.18から取得した値です。🤖 Generated with Claude Code