From ccb0768c1d86c9ee1929da80041c10315049e9ab Mon Sep 17 00:00:00 2001 From: Ryuuji Yoshimoto Date: Sun, 9 Aug 2026 07:33:28 +0900 Subject: [PATCH] =?UTF-8?q?fix(deps):=20nanoid=20=E3=82=92=203.3.18=20?= =?UTF-8?q?=E3=81=B8=E6=9B=B4=E6=96=B0=E3=81=99=E3=82=8B=20(GHSA-2v37-7h3g?= =?UTF-8?q?-55p8)?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit nanoid 3.3.16 以前は、size に 0 を渡したときカスタムジェネレータが 無限ループする（GHSA-2v37-7h3g-55p8, high, 2026-07-29 公開）。 修正版 3.3.17 は 2026-08-03 に公開されている。 postcss 経由の推移的依存で、postcss の要求レンジは ^3.3.x のため package-lock.json の更新だけで解消する。package.json は変更していない。 CALIL org の active な npm リポジトリを横断確認したところ、 28 リポジトリ・30 マニフェストが 3.3.16 のまま残っていた。 Dependabot のアラートは発火しておらず（org 全体で 2 件のみ、 いずれも別リポジトリ）、待っていても更新されない状態だったため まとめて対応する。 Co-Authored-By: Claude Opus 5 (1M context) --- package-lock.json | 6 +++--- 1 file changed, 3 insertions(+), 3 deletions(-) diff --git a/package-lock.json b/package-lock.json index dee5f96..229177b 100644 --- a/package-lock.json +++ b/package-lock.json @@ -2217,9 +2217,9 @@ } }, "node_modules/nanoid": { - "version": "3.3.16", - "resolved": "https://registry.npmjs.org/nanoid/-/nanoid-3.3.16.tgz", - "integrity": "sha512-bzlKTyNJ7+LdGIIwy8ijFpIqEQIvafahV7eYykJ8Cvh42EdJeODoJ6gUJXpQJvej1BddH8OqTXZNE/KfbWAu8Q==", + "version": "3.3.18", + "resolved": "https://registry.npmjs.org/nanoid/-/nanoid-3.3.18.tgz", + "integrity": "sha512-DTg4MJbGMWkfi6VZFdNt2/caMbQy4Ou+Op/hJQvGEWcnVfoA1QA+xzRKAzw9jD6+GVOOeYr/mIcuDSdug6F6+w==", "dev": true, "funding": [ {