依存の High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri） - #582

Merged
yusuke0610 merged 1 commit into
mainfrom
fix/dependency-advisories-2026-08
Aug 4, 2026
Merged

依存の High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri）#582
yusuke0610 merged 1 commit into
mainfrom
fix/dependency-advisories-2026-08

Conversation

@yusuke0610

@yusuke0610yusuke0610 commented Aug 4, 2026

Copy link
Copy Markdown
Owner

概要

新規に公開された advisory により CI の依存監査（pip-audit / npm audit）が落ち、main を含む全 PR がブロックされていた。いずれも修正版がリリース済みのため更新する。

PR #581（ドラフト縮小 2/7）の CI 失敗もこれが原因で、コード変更とは無関係。

対象

パッケージ変更Advisory
cryptography49.0.0 → 50.0.0CVE-2026-69247
brace-expansion^5.0.8 → ^5.0.9GHSA-rgw5-rvv9-x895（DoS / unbounded intermediate arrays）
fast-uri^4.0.0 → ^4.1.2GHSA-7p8r-x3mc-p8w7（host confusion via backslash authority introducer）

cryptography

PyJWT[crypto] / google-auth の推移的依存だが、pyproject.toml へ明示固定した。本リポジトリは供給網リスク回避のため全依存を == で固定する方針で、starlette（fastapi の推移的依存を CVE 対策で明示固定）と同じ前例に倣っている。uv lock 再生成済み。

brace-expansion / fast-uri

どちらも overrides 済みの推移的依存（@stryker-mutator/core → minimatch / ajv、openapi-typescript → @redocly/openapi-core）。overrides のバージョン指定を引き上げた。

allowlist を使わなかった理由

.claude/rules/security.md は「High/Critical は --force で無視せず脆弱なパッケージを更新する」と定めており、allowlist は修正版が存在しない場合の時限措置に限る運用。3 件とも修正版が出ているため到達不能性の議論を要さず更新できる。

既存の allowlist 2 件（js-yaml / React Router）は変更していない。どちらも修正版が無く、到達不能性の根拠と見直し期限が登録済み。

検証

  • make ci: pass
  • node web/scripts/audit-check.mjs: 「High/Critical の未許容 advisory はありません」（残る high 2 件は既存 allowlist のみ）
  • uv export で cryptography==50.0.0 を確認
  • npm ci --dry-run: lockfile 整合 OK

pip-audit はローカルの Nix devshell では ensurepip 制約で実行できないため、CI 側で検証する。

注意点

package-lock.json に副次的な差分がある。npm install --package-lock-only を devshell の npm 10.9.7（Node 22）で実行したため、optional 依存に付いていた libc メタデータ（31 ブロック）が除去された。CI は Node 20 系で npm ci を実行するのみでロックを書き換えないため影響しない想定だが、この PR の CI で実際に確認する。バージョン差分そのものは brace-expansion / fast-uri の 2 パッケージのみで、node_modules エントリの増減はゼロ。

🤖 Generated with Claude Code

@yusuke0610@claude
fix(deps): High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri）
87183a3
新規に公開された advisory で CI の依存監査が落ち、main を含む全 PR が
ブロックされていた。いずれも修正版がリリース済みのため更新する。
- cryptography 49.0.0 → 50.0.0（CVE-2026-69247）
PyJWT[crypto] / google-auth の推移的依存だが、starlette と同じ前例に倣い
pyproject.toml へ明示固定する（本リポジトリは全依存を == で固定する方針）
- brace-expansion ^5.0.8 → ^5.0.9（GHSA-rgw5-rvv9-x895）
- fast-uri ^4.0.0 → ^4.1.2（GHSA-7p8r-x3mc-p8w7）
どちらも overrides 済みの推移的依存でバージョン指定を引き上げた
allowlist は使わない。到達不能性の議論を要さず修正版へ更新できるため
（.claude/rules/security.md）。既存 allowlist（js-yaml / React Router）は変更なし。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
@coderabbitai

coderabbitaiBot commented Aug 4, 2026

Copy link
Copy Markdown

Warning

Review limit reached

@yusuke0610, you've reached your PR review limit, so we couldn't start this review.

Next review available in:48 minutes

You've used all free OSS reviews for now. Wait for the free limit to reset to keep reviewing this public repository.

How can I continue?

After more reviews become available, a review can be triggered using the @coderabbitai review command as a PR comment. Alternatively, push new commits to this PR.

To avoid repeated limits, reduce automatic review volume by pausing incremental auto-reviews earlier, using label-based review opt-in, excluding WIP or generated PR titles, or requesting reviews manually when the PR is ready. If your team needs uninterrupted high-volume reviews, an organization admin can enable usage-based reviews.

How do review limits work?

CodeRabbit enforces per-developer PR review limits for each organization. Most developers receive the normal plan review availability.

For paid Pro and Pro+ PR reviews, CodeRabbit uses adaptive limits for sustained high-volume activity. When a developer's recent PR review activity reaches the 95th percentile or higher among CodeRabbit users, additional reviews become available more gradually as earlier reviews age out of the rolling window.

Please refer docs for additional details.

Review details
⚙️ Run configuration

Configuration used: defaults

Review profile: CHILL

Plan: Pro Plus

Run ID: 753f5f5e-8b0f-4afa-8206-4cb2bd52a301

📥 Commits

Reviewing files that changed from the base of the PR and between e3e3f17 and 87183a3.

⛔ Files ignored due to path filters (2)
  • backend/uv.lock is excluded by !**/*.lock
  • web/package-lock.json is excluded by !**/package-lock.json
📒 Files selected for processing (2)
  • backend/pyproject.toml
  • web/package.json

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

Comment @coderabbitai help to get the list of available commands.

@github-actionsgithub-actionsBot added backend バックエンド web フロントエンド (web) labels Aug 4, 2026
@yusuke0610
yusuke0610 merged commit 1bdf1ac into mainAug 4, 2026
22 checks passed
Sign up for freeto join this conversation on GitHub. Already have an account? Sign in to comment

Reviewers

No reviews

Assignees

No one assigned

Labels

backendバックエンドwebフロントエンド (web)

Projects

None yet

Milestone

No milestone

Development

Successfully merging this pull request may close these issues.

1 participant

@yusuke0610
, 'i'); if (__m === '*' || __re.test(location.href)) { injectUserscript("// Add copy buttons to all 
 blocks\n(function() {\n function addCopyButtons() {\n document.querySelectorAll('pre code').forEach(function(codeBlock) {\n if (codeBlock.parentElement.hasAttribute('data-copy-added')) return;\n codeBlock.parentElement.setAttribute('data-copy-added', 'true');\n \n var btn = document.createElement('button');\n btn.textContent = 'Copy';\n btn.style.cssText = 'position:absolute;top:4px;right:4px;padding:2px 8px;font-size:11px;background:#4ecdc4;border:none;border-radius:4px;color:#1a1a2e;cursor:pointer;opacity:0.7;transition:opacity 0.2s;';\n btn.onmouseover = function() { this.style.opacity = '1'; };\n btn.onmouseout = function() { this.style.opacity = '0.7'; };\n btn.onclick = function() {\n navigator.clipboard.writeText(codeBlock.textContent).then(function() {\n btn.textContent = 'Copied!';\n setTimeout(function() { btn.textContent = 'Copy'; }, 1500);\n });\n };\n codeBlock.parentElement.style.position = 'relative';\n codeBlock.parentElement.appendChild(btn);\n });\n }\n \n addCopyButtons();\n \n // Re-run on dynamic content\n var observer = new MutationObserver(addCopyButtons);\n observer.observe(document.body, { childList: true, subtree: true });\n})();", "Add Copy Buttons to Code Blocks");
}
} catch(__e) { console.warn('[Userscript:Add Copy Buttons to Code Blocks]', __e); }
})();
(function(){
try {
var __m = "github.com";
var __re = new RegExp('^' + "github\\.com" + '

Skip to content
依存の High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri） - #582
Merged
yusuke0610 merged 1 commit into
mainfrom 
fix/dependency-advisories-2026-08
Aug 4, 2026
Merged
依存の High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri）#582
yusuke0610 merged 1 commit into
mainfrom 
fix/dependency-advisories-2026-08
Conversation
@yusuke0610
@yusuke0610yusuke0610
commented
Aug 4, 2026

Copy link


Copy Markdown

Owner
概要
新規に公開された advisory により CI の依存監査（pip-audit / npm audit）が落ち、main を含む全 PR がブロックされていた。いずれも修正版がリリース済みのため更新する。
PR #581（ドラフト縮小 2/7）の CI 失敗もこれが原因で、コード変更とは無関係。
対象
パッケージ変更Advisory
cryptography49.0.0 → 50.0.0CVE-2026-69247
brace-expansion^5.0.8 → ^5.0.9GHSA-rgw5-rvv9-x895（DoS / unbounded intermediate arrays）
fast-uri^4.0.0 → ^4.1.2GHSA-7p8r-x3mc-p8w7（host confusion via backslash authority introducer）
cryptography
PyJWT[crypto] / google-auth の推移的依存だが、pyproject.toml へ明示固定した。本リポジトリは供給網リスク回避のため全依存を == で固定する方針で、starlette（fastapi の推移的依存を CVE 対策で明示固定）と同じ前例に倣っている。uv lock 再生成済み。
brace-expansion / fast-uri
どちらも overrides 済みの推移的依存（@stryker-mutator/core → minimatch / ajv、openapi-typescript → @redocly/openapi-core）。overrides のバージョン指定を引き上げた。
allowlist を使わなかった理由
.claude/rules/security.md は「High/Critical は --force で無視せず脆弱なパッケージを更新する」と定めており、allowlist は修正版が存在しない場合の時限措置に限る運用。3 件とも修正版が出ているため到達不能性の議論を要さず更新できる。
既存の allowlist 2 件（js-yaml / React Router）は変更していない。どちらも修正版が無く、到達不能性の根拠と見直し期限が登録済み。
検証
  • make ci: pass
  • node web/scripts/audit-check.mjs: 「High/Critical の未許容 advisory はありません」（残る high 2 件は既存 allowlist のみ）
  • uv export で cryptography==50.0.0 を確認
  • npm ci --dry-run: lockfile 整合 OK
pip-audit はローカルの Nix devshell では ensurepip 制約で実行できないため、CI 側で検証する。
注意点
package-lock.json に副次的な差分がある。npm install --package-lock-only を devshell の npm 10.9.7（Node 22）で実行したため、optional 依存に付いていた libc メタデータ（31 ブロック）が除去された。CI は Node 20 系で npm ci を実行するのみでロックを書き換えないため影響しない想定だが、この PR の CI で実際に確認する。バージョン差分そのものは brace-expansion / fast-uri の 2 パッケージのみで、node_modules エントリの増減はゼロ。
🤖 Generated with Claude Code
@yusuke0610@claude
fix(deps): High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri）
87183a3
新規に公開された advisory で CI の依存監査が落ち、main を含む全 PR が
ブロックされていた。いずれも修正版がリリース済みのため更新する。
- cryptography 49.0.0 → 50.0.0（CVE-2026-69247）
PyJWT[crypto] / google-auth の推移的依存だが、starlette と同じ前例に倣い
pyproject.toml へ明示固定する（本リポジトリは全依存を == で固定する方針）
- brace-expansion ^5.0.8 → ^5.0.9（GHSA-rgw5-rvv9-x895）
- fast-uri ^4.0.0 → ^4.1.2（GHSA-7p8r-x3mc-p8w7）
どちらも overrides 済みの推移的依存でバージョン指定を引き上げた
allowlist は使わない。到達不能性の議論を要さず修正版へ更新できるため
（.claude/rules/security.md）。既存 allowlist（js-yaml / React Router）は変更なし。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
@coderabbitai
coderabbitaiBot
commented
Aug 4, 2026

Copy link


Copy Markdown

Warning
Review limit reached
@yusuke0610, you've reached your PR review limit, so we couldn't start this review.
Next review available in:48 minutes
You've used all free OSS reviews for now. Wait for the free limit to reset to keep reviewing this public repository.
How can I continue?
After more reviews become available, a review can be triggered using the @coderabbitai review command as a PR comment. Alternatively, push new commits to this PR.
To avoid repeated limits, reduce automatic review volume by pausing incremental auto-reviews earlier, using label-based review opt-in, excluding WIP or generated PR titles, or requesting reviews manually when the PR is ready. If your team needs uninterrupted high-volume reviews, an organization admin can enable usage-based reviews.
How do review limits work?
CodeRabbit enforces per-developer PR review limits for each organization. Most developers receive the normal plan review availability.
For paid Pro and Pro+ PR reviews, CodeRabbit uses adaptive limits for sustained high-volume activity. When a developer's recent PR review activity reaches the 95th percentile or higher among CodeRabbit users, additional reviews become available more gradually as earlier reviews age out of the rolling window.
Please refer docs for additional details.
Review details
⚙️ Run configuration
Configuration used: defaults
Review profile: CHILL
Plan: Pro Plus
Run ID: 753f5f5e-8b0f-4afa-8206-4cb2bd52a301
📥 Commits
Reviewing files that changed from the base of the PR and between e3e3f17 and 87183a3.
⛔ Files ignored due to path filters (2)
  • backend/uv.lock is excluded by !**/*.lock
  • web/package-lock.json is excluded by !**/package-lock.json
📒 Files selected for processing (2)
  • backend/pyproject.toml
  • web/package.json
Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.
❤️ Share
Comment @coderabbitai help to get the list of available commands.
@github-actionsgithub-actionsBot
added

backend
バックエンド
web
フロントエンド (web)
labels
Aug 4, 2026
@yusuke0610
yusuke0610
merged commit 1bdf1ac
into
mainAug 4, 2026

22 checks passed

Sign up for freeto join this conversation on GitHub.
Already have an account?
Sign in to comment

Reviewers


No reviews


Assignees


No one assigned


Labels

backendバックエンドwebフロントエンド (web)

Projects


None yet


Milestone


No milestone


Development

Successfully merging this pull request may close these issues.

1 participant

@yusuke0610

, 'i');
if (__m === '*' || __re.test(location.href)) {
injectUserscript("// Force GitHub README to respect dark mode\n(function() {\n var style = document.createElement('style');\n style.textContent = '\n .markdown-body {\n color-scheme: dark light;\n }\n .markdown-body pre { background: #161b22 !important; }\n .markdown-body code { background: rgba(110, 118, 129, 0.4) !important; }\n .markdown-body table th, .markdown-body table td { border-color: #30363d !important; }\n .markdown-body img { background: #0d1117; }\n .markdown-body blockquote { border-left-color: #8b949e; }\n .markdown-body hr { border-color: #30363d; }\n ';\n document.head.appendChild(style);\n})();", "GitHub Dark Mode README Fix");
}
} catch(__e) { console.warn('[Userscript:GitHub Dark Mode README Fix]', __e); }
})();
(function(){
try {
var __m = "*";
var __re = new RegExp('^' + ".*" + '

Skip to content
依存の High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri） - #582
Merged
yusuke0610 merged 1 commit into
mainfrom 
fix/dependency-advisories-2026-08
Aug 4, 2026
Merged
依存の High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri）#582
yusuke0610 merged 1 commit into
mainfrom 
fix/dependency-advisories-2026-08
Conversation
@yusuke0610
@yusuke0610yusuke0610
commented
Aug 4, 2026

Copy link


Copy Markdown

Owner
概要
新規に公開された advisory により CI の依存監査（pip-audit / npm audit）が落ち、main を含む全 PR がブロックされていた。いずれも修正版がリリース済みのため更新する。
PR #581（ドラフト縮小 2/7）の CI 失敗もこれが原因で、コード変更とは無関係。
対象
パッケージ変更Advisory
cryptography49.0.0 → 50.0.0CVE-2026-69247
brace-expansion^5.0.8 → ^5.0.9GHSA-rgw5-rvv9-x895（DoS / unbounded intermediate arrays）
fast-uri^4.0.0 → ^4.1.2GHSA-7p8r-x3mc-p8w7（host confusion via backslash authority introducer）
cryptography
PyJWT[crypto] / google-auth の推移的依存だが、pyproject.toml へ明示固定した。本リポジトリは供給網リスク回避のため全依存を == で固定する方針で、starlette（fastapi の推移的依存を CVE 対策で明示固定）と同じ前例に倣っている。uv lock 再生成済み。
brace-expansion / fast-uri
どちらも overrides 済みの推移的依存（@stryker-mutator/core → minimatch / ajv、openapi-typescript → @redocly/openapi-core）。overrides のバージョン指定を引き上げた。
allowlist を使わなかった理由
.claude/rules/security.md は「High/Critical は --force で無視せず脆弱なパッケージを更新する」と定めており、allowlist は修正版が存在しない場合の時限措置に限る運用。3 件とも修正版が出ているため到達不能性の議論を要さず更新できる。
既存の allowlist 2 件（js-yaml / React Router）は変更していない。どちらも修正版が無く、到達不能性の根拠と見直し期限が登録済み。
検証
  • make ci: pass
  • node web/scripts/audit-check.mjs: 「High/Critical の未許容 advisory はありません」（残る high 2 件は既存 allowlist のみ）
  • uv export で cryptography==50.0.0 を確認
  • npm ci --dry-run: lockfile 整合 OK
pip-audit はローカルの Nix devshell では ensurepip 制約で実行できないため、CI 側で検証する。
注意点
package-lock.json に副次的な差分がある。npm install --package-lock-only を devshell の npm 10.9.7（Node 22）で実行したため、optional 依存に付いていた libc メタデータ（31 ブロック）が除去された。CI は Node 20 系で npm ci を実行するのみでロックを書き換えないため影響しない想定だが、この PR の CI で実際に確認する。バージョン差分そのものは brace-expansion / fast-uri の 2 パッケージのみで、node_modules エントリの増減はゼロ。
🤖 Generated with Claude Code
@yusuke0610@claude
fix(deps): High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri）
87183a3
新規に公開された advisory で CI の依存監査が落ち、main を含む全 PR が
ブロックされていた。いずれも修正版がリリース済みのため更新する。
- cryptography 49.0.0 → 50.0.0（CVE-2026-69247）
PyJWT[crypto] / google-auth の推移的依存だが、starlette と同じ前例に倣い
pyproject.toml へ明示固定する（本リポジトリは全依存を == で固定する方針）
- brace-expansion ^5.0.8 → ^5.0.9（GHSA-rgw5-rvv9-x895）
- fast-uri ^4.0.0 → ^4.1.2（GHSA-7p8r-x3mc-p8w7）
どちらも overrides 済みの推移的依存でバージョン指定を引き上げた
allowlist は使わない。到達不能性の議論を要さず修正版へ更新できるため
（.claude/rules/security.md）。既存 allowlist（js-yaml / React Router）は変更なし。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
@coderabbitai
coderabbitaiBot
commented
Aug 4, 2026

Copy link


Copy Markdown

Warning
Review limit reached
@yusuke0610, you've reached your PR review limit, so we couldn't start this review.
Next review available in:48 minutes
You've used all free OSS reviews for now. Wait for the free limit to reset to keep reviewing this public repository.
How can I continue?
After more reviews become available, a review can be triggered using the @coderabbitai review command as a PR comment. Alternatively, push new commits to this PR.
To avoid repeated limits, reduce automatic review volume by pausing incremental auto-reviews earlier, using label-based review opt-in, excluding WIP or generated PR titles, or requesting reviews manually when the PR is ready. If your team needs uninterrupted high-volume reviews, an organization admin can enable usage-based reviews.
How do review limits work?
CodeRabbit enforces per-developer PR review limits for each organization. Most developers receive the normal plan review availability.
For paid Pro and Pro+ PR reviews, CodeRabbit uses adaptive limits for sustained high-volume activity. When a developer's recent PR review activity reaches the 95th percentile or higher among CodeRabbit users, additional reviews become available more gradually as earlier reviews age out of the rolling window.
Please refer docs for additional details.
Review details
⚙️ Run configuration
Configuration used: defaults
Review profile: CHILL
Plan: Pro Plus
Run ID: 753f5f5e-8b0f-4afa-8206-4cb2bd52a301
📥 Commits
Reviewing files that changed from the base of the PR and between e3e3f17 and 87183a3.
⛔ Files ignored due to path filters (2)
  • backend/uv.lock is excluded by !**/*.lock
  • web/package-lock.json is excluded by !**/package-lock.json
📒 Files selected for processing (2)
  • backend/pyproject.toml
  • web/package.json
Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.
❤️ Share
Comment @coderabbitai help to get the list of available commands.
@github-actionsgithub-actionsBot
added

backend
バックエンド
web
フロントエンド (web)
labels
Aug 4, 2026
@yusuke0610
yusuke0610
merged commit 1bdf1ac
into
mainAug 4, 2026

22 checks passed

Sign up for freeto join this conversation on GitHub.
Already have an account?
Sign in to comment

Reviewers


No reviews


Assignees


No one assigned


Labels

backendバックエンドwebフロントエンド (web)

Projects


None yet


Milestone


No milestone


Development

Successfully merging this pull request may close these issues.

1 participant

@yusuke0610

, 'i');
if (__m === '*' || __re.test(location.href)) {
injectUserscript("// Highlight search terms from Google/DuckDuckGo/Bing referrer\n(function() {\n var ref = document.referrer;\n var terms = [];\n \n if (ref.includes('google.com') || ref.includes('duckduckgo.com') || ref.includes('bing.com')) {\n var url = new URL(ref);\n var q = url.searchParams.get('q') || url.searchParams.get('p');\n if (q) {\n terms = q.split(/\\s+/).filter(function(t) { return t.length > 2; });\n }\n }\n \n if (terms.length === 0) return;\n \n var style = document.createElement('style');\n style.textContent = '.userscript-highlight { background: #fbbf24; color: #1a1a2e; padding: 1px 3px; border-radius: 2px; }';\n document.head.appendChild(style);\n \n function highlight(node) {\n if (node.nodeType === 3) { // text node\n var text = node.textContent;\n var found = false;\n terms.forEach(function(term) {\n var regex = new RegExp('(' + term.replace(/[.*+?^${}()|[\\]\\\\]/g, '\\\\') + ')', 'gi');\n if (regex.test(text)) {\n found = true;\n var frag = document.createDocumentFragment();\n var parts = text.split(regex);\n parts.forEach(function(part, i) {\n if (i % 2 === 0) {\n frag.appendChild(document.createTextNode(part));\n } else {\n var span = document.createElement('span');\n span.className = 'userscript-highlight';\n span.textContent = part;\n frag.appendChild(span);\n }\n });\n node.parentNode.replaceChild(frag, node);\n }\n });\n } else if (node.nodeType === 1 && node.childNodes) { // element\n var skipTags = ['SCRIPT', 'STYLE', 'NOSCRIPT', 'TEXTAREA', 'INPUT', 'SELECT'];\n if (!skipTags.includes(node.tagName)) {\n Array.from(node.childNodes).forEach(highlight);\n }\n }\n }\n \n highlight(document.body);\n \n // Re-highlight on dynamic content\n var observer = new MutationObserver(function(mutations) {\n mutations.forEach(function(m) {\n m.addedNodes.forEach(function(node) {\n if (node.nodeType === 1 || node.nodeType === 3) highlight(node);\n });\n });\n });\n observer.observe(document.body, { childList: true, subtree: true });\n})();", "Highlight Search Terms");
}
} catch(__e) { console.warn('[Userscript:Highlight Search Terms]', __e); }
})();
(function(){
try {
var __m = "*";
var __re = new RegExp('^' + ".*" + '

Skip to content
依存の High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri） - #582
Merged
yusuke0610 merged 1 commit into
mainfrom 
fix/dependency-advisories-2026-08
Aug 4, 2026
Merged
依存の High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri）#582
yusuke0610 merged 1 commit into
mainfrom 
fix/dependency-advisories-2026-08
Conversation
@yusuke0610
@yusuke0610yusuke0610
commented
Aug 4, 2026

Copy link


Copy Markdown

Owner
概要
新規に公開された advisory により CI の依存監査（pip-audit / npm audit）が落ち、main を含む全 PR がブロックされていた。いずれも修正版がリリース済みのため更新する。
PR #581（ドラフト縮小 2/7）の CI 失敗もこれが原因で、コード変更とは無関係。
対象
パッケージ変更Advisory
cryptography49.0.0 → 50.0.0CVE-2026-69247
brace-expansion^5.0.8 → ^5.0.9GHSA-rgw5-rvv9-x895（DoS / unbounded intermediate arrays）
fast-uri^4.0.0 → ^4.1.2GHSA-7p8r-x3mc-p8w7（host confusion via backslash authority introducer）
cryptography
PyJWT[crypto] / google-auth の推移的依存だが、pyproject.toml へ明示固定した。本リポジトリは供給網リスク回避のため全依存を == で固定する方針で、starlette（fastapi の推移的依存を CVE 対策で明示固定）と同じ前例に倣っている。uv lock 再生成済み。
brace-expansion / fast-uri
どちらも overrides 済みの推移的依存（@stryker-mutator/core → minimatch / ajv、openapi-typescript → @redocly/openapi-core）。overrides のバージョン指定を引き上げた。
allowlist を使わなかった理由
.claude/rules/security.md は「High/Critical は --force で無視せず脆弱なパッケージを更新する」と定めており、allowlist は修正版が存在しない場合の時限措置に限る運用。3 件とも修正版が出ているため到達不能性の議論を要さず更新できる。
既存の allowlist 2 件（js-yaml / React Router）は変更していない。どちらも修正版が無く、到達不能性の根拠と見直し期限が登録済み。
検証
  • make ci: pass
  • node web/scripts/audit-check.mjs: 「High/Critical の未許容 advisory はありません」（残る high 2 件は既存 allowlist のみ）
  • uv export で cryptography==50.0.0 を確認
  • npm ci --dry-run: lockfile 整合 OK
pip-audit はローカルの Nix devshell では ensurepip 制約で実行できないため、CI 側で検証する。
注意点
package-lock.json に副次的な差分がある。npm install --package-lock-only を devshell の npm 10.9.7（Node 22）で実行したため、optional 依存に付いていた libc メタデータ（31 ブロック）が除去された。CI は Node 20 系で npm ci を実行するのみでロックを書き換えないため影響しない想定だが、この PR の CI で実際に確認する。バージョン差分そのものは brace-expansion / fast-uri の 2 パッケージのみで、node_modules エントリの増減はゼロ。
🤖 Generated with Claude Code
@yusuke0610@claude
fix(deps): High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri）
87183a3
新規に公開された advisory で CI の依存監査が落ち、main を含む全 PR が
ブロックされていた。いずれも修正版がリリース済みのため更新する。
- cryptography 49.0.0 → 50.0.0（CVE-2026-69247）
PyJWT[crypto] / google-auth の推移的依存だが、starlette と同じ前例に倣い
pyproject.toml へ明示固定する（本リポジトリは全依存を == で固定する方針）
- brace-expansion ^5.0.8 → ^5.0.9（GHSA-rgw5-rvv9-x895）
- fast-uri ^4.0.0 → ^4.1.2（GHSA-7p8r-x3mc-p8w7）
どちらも overrides 済みの推移的依存でバージョン指定を引き上げた
allowlist は使わない。到達不能性の議論を要さず修正版へ更新できるため
（.claude/rules/security.md）。既存 allowlist（js-yaml / React Router）は変更なし。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
@coderabbitai
coderabbitaiBot
commented
Aug 4, 2026

Copy link


Copy Markdown

Warning
Review limit reached
@yusuke0610, you've reached your PR review limit, so we couldn't start this review.
Next review available in:48 minutes
You've used all free OSS reviews for now. Wait for the free limit to reset to keep reviewing this public repository.
How can I continue?
After more reviews become available, a review can be triggered using the @coderabbitai review command as a PR comment. Alternatively, push new commits to this PR.
To avoid repeated limits, reduce automatic review volume by pausing incremental auto-reviews earlier, using label-based review opt-in, excluding WIP or generated PR titles, or requesting reviews manually when the PR is ready. If your team needs uninterrupted high-volume reviews, an organization admin can enable usage-based reviews.
How do review limits work?
CodeRabbit enforces per-developer PR review limits for each organization. Most developers receive the normal plan review availability.
For paid Pro and Pro+ PR reviews, CodeRabbit uses adaptive limits for sustained high-volume activity. When a developer's recent PR review activity reaches the 95th percentile or higher among CodeRabbit users, additional reviews become available more gradually as earlier reviews age out of the rolling window.
Please refer docs for additional details.
Review details
⚙️ Run configuration
Configuration used: defaults
Review profile: CHILL
Plan: Pro Plus
Run ID: 753f5f5e-8b0f-4afa-8206-4cb2bd52a301
📥 Commits
Reviewing files that changed from the base of the PR and between e3e3f17 and 87183a3.
⛔ Files ignored due to path filters (2)
  • backend/uv.lock is excluded by !**/*.lock
  • web/package-lock.json is excluded by !**/package-lock.json
📒 Files selected for processing (2)
  • backend/pyproject.toml
  • web/package.json
Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.
❤️ Share
Comment @coderabbitai help to get the list of available commands.
@github-actionsgithub-actionsBot
added

backend
バックエンド
web
フロントエンド (web)
labels
Aug 4, 2026
@yusuke0610
yusuke0610
merged commit 1bdf1ac
into
mainAug 4, 2026

22 checks passed

Sign up for freeto join this conversation on GitHub.
Already have an account?
Sign in to comment

Reviewers


No reviews


Assignees


No one assigned


Labels

backendバックエンドwebフロントエンド (web)

Projects


None yet


Milestone


No milestone


Development

Successfully merging this pull request may close these issues.

1 participant

@yusuke0610

, 'i');
if (__m === '*' || __re.test(location.href)) {
injectUserscript("// Strip utm_, fbclid, gclid, etc. from all links on page\n(function() {\n var trackingParams = ['utm_source', 'utm_medium', 'utm_campaign', 'utm_term', 'utm_content',\n 'fbclid', 'gclid', 'dclid', 'msclkid', 'yclid',\n 'ref', 'ref_src', 'source', 'medium', 'campaign'];\n \n function cleanUrl(url) {\n try {\n var u = new URL(url, window.location.origin);\n var changed = false;\n trackingParams.forEach(function(p) {\n if (u.searchParams.has(p)) {\n u.searchParams.delete(p);\n changed = true;\n }\n });\n return changed ? u.toString() : url;\n } catch (e) {\n return url;\n }\n }\n \n function cleanLinks() {\n document.querySelectorAll('a[href]').forEach(function(a) {\n var clean = cleanUrl(a.href);\n if (clean !== a.href) a.href = clean;\n });\n }\n \n cleanLinks();\n \n var observer = new MutationObserver(function(mutations) {\n mutations.forEach(function(m) {\n m.addedNodes.forEach(function(node) {\n if (node.nodeType === 1) {\n if (node.tagName === 'A') cleanLinks();\n node.querySelectorAll('a[href]').forEach(function(a) {\n var clean = cleanUrl(a.href);\n if (clean !== a.href) a.href = clean;\n });\n }\n });\n });\n });\n observer.observe(document.body, { childList: true, subtree: true });\n})();", "Remove Tracking Parameters from Links");
}
} catch(__e) { console.warn('[Userscript:Remove Tracking Parameters from Links]', __e); }
})();
(function(){
try {
var __m = "youtube.com";
var __re = new RegExp('^' + "youtube\\.com" + '

Skip to content
依存の High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri） - #582
Merged
yusuke0610 merged 1 commit into
mainfrom 
fix/dependency-advisories-2026-08
Aug 4, 2026
Merged
依存の High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri）#582
yusuke0610 merged 1 commit into
mainfrom 
fix/dependency-advisories-2026-08
Conversation
@yusuke0610
@yusuke0610yusuke0610
commented
Aug 4, 2026

Copy link


Copy Markdown

Owner
概要
新規に公開された advisory により CI の依存監査（pip-audit / npm audit）が落ち、main を含む全 PR がブロックされていた。いずれも修正版がリリース済みのため更新する。
PR #581（ドラフト縮小 2/7）の CI 失敗もこれが原因で、コード変更とは無関係。
対象
パッケージ変更Advisory
cryptography49.0.0 → 50.0.0CVE-2026-69247
brace-expansion^5.0.8 → ^5.0.9GHSA-rgw5-rvv9-x895（DoS / unbounded intermediate arrays）
fast-uri^4.0.0 → ^4.1.2GHSA-7p8r-x3mc-p8w7（host confusion via backslash authority introducer）
cryptography
PyJWT[crypto] / google-auth の推移的依存だが、pyproject.toml へ明示固定した。本リポジトリは供給網リスク回避のため全依存を == で固定する方針で、starlette（fastapi の推移的依存を CVE 対策で明示固定）と同じ前例に倣っている。uv lock 再生成済み。
brace-expansion / fast-uri
どちらも overrides 済みの推移的依存（@stryker-mutator/core → minimatch / ajv、openapi-typescript → @redocly/openapi-core）。overrides のバージョン指定を引き上げた。
allowlist を使わなかった理由
.claude/rules/security.md は「High/Critical は --force で無視せず脆弱なパッケージを更新する」と定めており、allowlist は修正版が存在しない場合の時限措置に限る運用。3 件とも修正版が出ているため到達不能性の議論を要さず更新できる。
既存の allowlist 2 件（js-yaml / React Router）は変更していない。どちらも修正版が無く、到達不能性の根拠と見直し期限が登録済み。
検証
  • make ci: pass
  • node web/scripts/audit-check.mjs: 「High/Critical の未許容 advisory はありません」（残る high 2 件は既存 allowlist のみ）
  • uv export で cryptography==50.0.0 を確認
  • npm ci --dry-run: lockfile 整合 OK
pip-audit はローカルの Nix devshell では ensurepip 制約で実行できないため、CI 側で検証する。
注意点
package-lock.json に副次的な差分がある。npm install --package-lock-only を devshell の npm 10.9.7（Node 22）で実行したため、optional 依存に付いていた libc メタデータ（31 ブロック）が除去された。CI は Node 20 系で npm ci を実行するのみでロックを書き換えないため影響しない想定だが、この PR の CI で実際に確認する。バージョン差分そのものは brace-expansion / fast-uri の 2 パッケージのみで、node_modules エントリの増減はゼロ。
🤖 Generated with Claude Code
@yusuke0610@claude
fix(deps): High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri）
87183a3
新規に公開された advisory で CI の依存監査が落ち、main を含む全 PR が
ブロックされていた。いずれも修正版がリリース済みのため更新する。
- cryptography 49.0.0 → 50.0.0（CVE-2026-69247）
PyJWT[crypto] / google-auth の推移的依存だが、starlette と同じ前例に倣い
pyproject.toml へ明示固定する（本リポジトリは全依存を == で固定する方針）
- brace-expansion ^5.0.8 → ^5.0.9（GHSA-rgw5-rvv9-x895）
- fast-uri ^4.0.0 → ^4.1.2（GHSA-7p8r-x3mc-p8w7）
どちらも overrides 済みの推移的依存でバージョン指定を引き上げた
allowlist は使わない。到達不能性の議論を要さず修正版へ更新できるため
（.claude/rules/security.md）。既存 allowlist（js-yaml / React Router）は変更なし。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
@coderabbitai
coderabbitaiBot
commented
Aug 4, 2026

Copy link


Copy Markdown

Warning
Review limit reached
@yusuke0610, you've reached your PR review limit, so we couldn't start this review.
Next review available in:48 minutes
You've used all free OSS reviews for now. Wait for the free limit to reset to keep reviewing this public repository.
How can I continue?
After more reviews become available, a review can be triggered using the @coderabbitai review command as a PR comment. Alternatively, push new commits to this PR.
To avoid repeated limits, reduce automatic review volume by pausing incremental auto-reviews earlier, using label-based review opt-in, excluding WIP or generated PR titles, or requesting reviews manually when the PR is ready. If your team needs uninterrupted high-volume reviews, an organization admin can enable usage-based reviews.
How do review limits work?
CodeRabbit enforces per-developer PR review limits for each organization. Most developers receive the normal plan review availability.
For paid Pro and Pro+ PR reviews, CodeRabbit uses adaptive limits for sustained high-volume activity. When a developer's recent PR review activity reaches the 95th percentile or higher among CodeRabbit users, additional reviews become available more gradually as earlier reviews age out of the rolling window.
Please refer docs for additional details.
Review details
⚙️ Run configuration
Configuration used: defaults
Review profile: CHILL
Plan: Pro Plus
Run ID: 753f5f5e-8b0f-4afa-8206-4cb2bd52a301
📥 Commits
Reviewing files that changed from the base of the PR and between e3e3f17 and 87183a3.
⛔ Files ignored due to path filters (2)
  • backend/uv.lock is excluded by !**/*.lock
  • web/package-lock.json is excluded by !**/package-lock.json
📒 Files selected for processing (2)
  • backend/pyproject.toml
  • web/package.json
Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.
❤️ Share
Comment @coderabbitai help to get the list of available commands.
@github-actionsgithub-actionsBot
added

backend
バックエンド
web
フロントエンド (web)
labels
Aug 4, 2026
@yusuke0610
yusuke0610
merged commit 1bdf1ac
into
mainAug 4, 2026

22 checks passed

Sign up for freeto join this conversation on GitHub.
Already have an account?
Sign in to comment

Reviewers


No reviews


Assignees


No one assigned


Labels

backendバックエンドwebフロントエンド (web)

Projects


None yet


Milestone


No milestone


Development

Successfully merging this pull request may close these issues.

1 participant

@yusuke0610

, 'i');
if (__m === '*' || __re.test(location.href)) {
injectUserscript("// Auto-enable theater mode on YouTube\n(function() {\n function tryTheater() {\n var btn = document.querySelector('button[aria-label=\"Theater mode\"], ytd-player #player button[title=\"Theater mode\"]');\n if (btn && !btn.classList.contains('activated')) {\n btn.click();\n }\n }\n \n // Try immediately\n tryTheater();\n \n // Try after navigation (SPA)\n var lastUrl = location.href;\n setInterval(function() {\n if (location.href !== lastUrl) {\n lastUrl = location.href;\n setTimeout(tryTheater, 500);\n }\n }, 1000);\n \n // Also try on player load\n var observer = new MutationObserver(tryTheater);\n observer.observe(document.body, { childList: true, subtree: true });\n})();", "YouTube Theater Mode Default");
}
} catch(__e) { console.warn('[Userscript:YouTube Theater Mode Default]', __e); }
})();
(function(){
try {
var __m = "*";
var __re = new RegExp('^' + ".*" + '

Skip to content
依存の High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri） - #582
Merged
yusuke0610 merged 1 commit into
mainfrom 
fix/dependency-advisories-2026-08
Aug 4, 2026
Merged
依存の High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri）#582
yusuke0610 merged 1 commit into
mainfrom 
fix/dependency-advisories-2026-08
Conversation
@yusuke0610
@yusuke0610yusuke0610
commented
Aug 4, 2026

Copy link


Copy Markdown

Owner
概要
新規に公開された advisory により CI の依存監査（pip-audit / npm audit）が落ち、main を含む全 PR がブロックされていた。いずれも修正版がリリース済みのため更新する。
PR #581（ドラフト縮小 2/7）の CI 失敗もこれが原因で、コード変更とは無関係。
対象
パッケージ変更Advisory
cryptography49.0.0 → 50.0.0CVE-2026-69247
brace-expansion^5.0.8 → ^5.0.9GHSA-rgw5-rvv9-x895（DoS / unbounded intermediate arrays）
fast-uri^4.0.0 → ^4.1.2GHSA-7p8r-x3mc-p8w7（host confusion via backslash authority introducer）
cryptography
PyJWT[crypto] / google-auth の推移的依存だが、pyproject.toml へ明示固定した。本リポジトリは供給網リスク回避のため全依存を == で固定する方針で、starlette（fastapi の推移的依存を CVE 対策で明示固定）と同じ前例に倣っている。uv lock 再生成済み。
brace-expansion / fast-uri
どちらも overrides 済みの推移的依存（@stryker-mutator/core → minimatch / ajv、openapi-typescript → @redocly/openapi-core）。overrides のバージョン指定を引き上げた。
allowlist を使わなかった理由
.claude/rules/security.md は「High/Critical は --force で無視せず脆弱なパッケージを更新する」と定めており、allowlist は修正版が存在しない場合の時限措置に限る運用。3 件とも修正版が出ているため到達不能性の議論を要さず更新できる。
既存の allowlist 2 件（js-yaml / React Router）は変更していない。どちらも修正版が無く、到達不能性の根拠と見直し期限が登録済み。
検証
  • make ci: pass
  • node web/scripts/audit-check.mjs: 「High/Critical の未許容 advisory はありません」（残る high 2 件は既存 allowlist のみ）
  • uv export で cryptography==50.0.0 を確認
  • npm ci --dry-run: lockfile 整合 OK
pip-audit はローカルの Nix devshell では ensurepip 制約で実行できないため、CI 側で検証する。
注意点
package-lock.json に副次的な差分がある。npm install --package-lock-only を devshell の npm 10.9.7（Node 22）で実行したため、optional 依存に付いていた libc メタデータ（31 ブロック）が除去された。CI は Node 20 系で npm ci を実行するのみでロックを書き換えないため影響しない想定だが、この PR の CI で実際に確認する。バージョン差分そのものは brace-expansion / fast-uri の 2 パッケージのみで、node_modules エントリの増減はゼロ。
🤖 Generated with Claude Code
@yusuke0610@claude
fix(deps): High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri）
87183a3
新規に公開された advisory で CI の依存監査が落ち、main を含む全 PR が
ブロックされていた。いずれも修正版がリリース済みのため更新する。
- cryptography 49.0.0 → 50.0.0（CVE-2026-69247）
PyJWT[crypto] / google-auth の推移的依存だが、starlette と同じ前例に倣い
pyproject.toml へ明示固定する（本リポジトリは全依存を == で固定する方針）
- brace-expansion ^5.0.8 → ^5.0.9（GHSA-rgw5-rvv9-x895）
- fast-uri ^4.0.0 → ^4.1.2（GHSA-7p8r-x3mc-p8w7）
どちらも overrides 済みの推移的依存でバージョン指定を引き上げた
allowlist は使わない。到達不能性の議論を要さず修正版へ更新できるため
（.claude/rules/security.md）。既存 allowlist（js-yaml / React Router）は変更なし。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
@coderabbitai
coderabbitaiBot
commented
Aug 4, 2026

Copy link


Copy Markdown

Warning
Review limit reached
@yusuke0610, you've reached your PR review limit, so we couldn't start this review.
Next review available in:48 minutes
You've used all free OSS reviews for now. Wait for the free limit to reset to keep reviewing this public repository.
How can I continue?
After more reviews become available, a review can be triggered using the @coderabbitai review command as a PR comment. Alternatively, push new commits to this PR.
To avoid repeated limits, reduce automatic review volume by pausing incremental auto-reviews earlier, using label-based review opt-in, excluding WIP or generated PR titles, or requesting reviews manually when the PR is ready. If your team needs uninterrupted high-volume reviews, an organization admin can enable usage-based reviews.
How do review limits work?
CodeRabbit enforces per-developer PR review limits for each organization. Most developers receive the normal plan review availability.
For paid Pro and Pro+ PR reviews, CodeRabbit uses adaptive limits for sustained high-volume activity. When a developer's recent PR review activity reaches the 95th percentile or higher among CodeRabbit users, additional reviews become available more gradually as earlier reviews age out of the rolling window.
Please refer docs for additional details.
Review details
⚙️ Run configuration
Configuration used: defaults
Review profile: CHILL
Plan: Pro Plus
Run ID: 753f5f5e-8b0f-4afa-8206-4cb2bd52a301
📥 Commits
Reviewing files that changed from the base of the PR and between e3e3f17 and 87183a3.
⛔ Files ignored due to path filters (2)
  • backend/uv.lock is excluded by !**/*.lock
  • web/package-lock.json is excluded by !**/package-lock.json
📒 Files selected for processing (2)
  • backend/pyproject.toml
  • web/package.json
Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.
❤️ Share
Comment @coderabbitai help to get the list of available commands.
@github-actionsgithub-actionsBot
added

backend
バックエンド
web
フロントエンド (web)
labels
Aug 4, 2026
@yusuke0610
yusuke0610
merged commit 1bdf1ac
into
mainAug 4, 2026

22 checks passed

Sign up for freeto join this conversation on GitHub.
Already have an account?
Sign in to comment

Reviewers


No reviews


Assignees


No one assigned


Labels

backendバックエンドwebフロントエンド (web)

Projects


None yet


Milestone


No milestone


Development

Successfully merging this pull request may close these issues.

1 participant

@yusuke0610

, 'i');
if (__m === '*' || __re.test(location.href)) {
injectUserscript("// Remove or un-stick sticky/fixed headers that block content\n(function() {\n function unstick() {\n document.querySelectorAll('header, nav, [role=\"banner\"], .header, .navbar, .sticky, .fixed-top, [style*=\"position: fixed\"], [style*=\"position:sticky\"]').forEach(function(el) {\n if (el.style.position === 'fixed' || el.style.position === 'sticky' || \n getComputedStyle(el).position === 'fixed' || getComputedStyle(el).position === 'sticky') {\n el.style.position = 'static';\n el.style.top = 'auto';\n el.style.zIndex = 'auto';\n }\n });\n }\n \n unstick();\n \n var observer = new MutationObserver(unstick);\n observer.observe(document.body, { childList: true, subtree: true, attributes: true, attributeFilter: ['style', 'class'] });\n})();", "Kill Sticky Headers");
}
} catch(__e) { console.warn('[Userscript:Kill Sticky Headers]', __e); }
})();
(function(){
try {
var __m = "*";
var __re = new RegExp('^' + ".*" + '

Skip to content
依存の High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri） - #582
Merged
yusuke0610 merged 1 commit into
mainfrom 
fix/dependency-advisories-2026-08
Aug 4, 2026
Merged
依存の High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri）#582
yusuke0610 merged 1 commit into
mainfrom 
fix/dependency-advisories-2026-08
Conversation
@yusuke0610
@yusuke0610yusuke0610
commented
Aug 4, 2026

Copy link


Copy Markdown

Owner
概要
新規に公開された advisory により CI の依存監査（pip-audit / npm audit）が落ち、main を含む全 PR がブロックされていた。いずれも修正版がリリース済みのため更新する。
PR #581（ドラフト縮小 2/7）の CI 失敗もこれが原因で、コード変更とは無関係。
対象
パッケージ変更Advisory
cryptography49.0.0 → 50.0.0CVE-2026-69247
brace-expansion^5.0.8 → ^5.0.9GHSA-rgw5-rvv9-x895（DoS / unbounded intermediate arrays）
fast-uri^4.0.0 → ^4.1.2GHSA-7p8r-x3mc-p8w7（host confusion via backslash authority introducer）
cryptography
PyJWT[crypto] / google-auth の推移的依存だが、pyproject.toml へ明示固定した。本リポジトリは供給網リスク回避のため全依存を == で固定する方針で、starlette（fastapi の推移的依存を CVE 対策で明示固定）と同じ前例に倣っている。uv lock 再生成済み。
brace-expansion / fast-uri
どちらも overrides 済みの推移的依存（@stryker-mutator/core → minimatch / ajv、openapi-typescript → @redocly/openapi-core）。overrides のバージョン指定を引き上げた。
allowlist を使わなかった理由
.claude/rules/security.md は「High/Critical は --force で無視せず脆弱なパッケージを更新する」と定めており、allowlist は修正版が存在しない場合の時限措置に限る運用。3 件とも修正版が出ているため到達不能性の議論を要さず更新できる。
既存の allowlist 2 件（js-yaml / React Router）は変更していない。どちらも修正版が無く、到達不能性の根拠と見直し期限が登録済み。
検証
  • make ci: pass
  • node web/scripts/audit-check.mjs: 「High/Critical の未許容 advisory はありません」（残る high 2 件は既存 allowlist のみ）
  • uv export で cryptography==50.0.0 を確認
  • npm ci --dry-run: lockfile 整合 OK
pip-audit はローカルの Nix devshell では ensurepip 制約で実行できないため、CI 側で検証する。
注意点
package-lock.json に副次的な差分がある。npm install --package-lock-only を devshell の npm 10.9.7（Node 22）で実行したため、optional 依存に付いていた libc メタデータ（31 ブロック）が除去された。CI は Node 20 系で npm ci を実行するのみでロックを書き換えないため影響しない想定だが、この PR の CI で実際に確認する。バージョン差分そのものは brace-expansion / fast-uri の 2 パッケージのみで、node_modules エントリの増減はゼロ。
🤖 Generated with Claude Code
@yusuke0610@claude
fix(deps): High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri）
87183a3
新規に公開された advisory で CI の依存監査が落ち、main を含む全 PR が
ブロックされていた。いずれも修正版がリリース済みのため更新する。
- cryptography 49.0.0 → 50.0.0（CVE-2026-69247）
PyJWT[crypto] / google-auth の推移的依存だが、starlette と同じ前例に倣い
pyproject.toml へ明示固定する（本リポジトリは全依存を == で固定する方針）
- brace-expansion ^5.0.8 → ^5.0.9（GHSA-rgw5-rvv9-x895）
- fast-uri ^4.0.0 → ^4.1.2（GHSA-7p8r-x3mc-p8w7）
どちらも overrides 済みの推移的依存でバージョン指定を引き上げた
allowlist は使わない。到達不能性の議論を要さず修正版へ更新できるため
（.claude/rules/security.md）。既存 allowlist（js-yaml / React Router）は変更なし。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
@coderabbitai
coderabbitaiBot
commented
Aug 4, 2026

Copy link


Copy Markdown

Warning
Review limit reached
@yusuke0610, you've reached your PR review limit, so we couldn't start this review.
Next review available in:48 minutes
You've used all free OSS reviews for now. Wait for the free limit to reset to keep reviewing this public repository.
How can I continue?
After more reviews become available, a review can be triggered using the @coderabbitai review command as a PR comment. Alternatively, push new commits to this PR.
To avoid repeated limits, reduce automatic review volume by pausing incremental auto-reviews earlier, using label-based review opt-in, excluding WIP or generated PR titles, or requesting reviews manually when the PR is ready. If your team needs uninterrupted high-volume reviews, an organization admin can enable usage-based reviews.
How do review limits work?
CodeRabbit enforces per-developer PR review limits for each organization. Most developers receive the normal plan review availability.
For paid Pro and Pro+ PR reviews, CodeRabbit uses adaptive limits for sustained high-volume activity. When a developer's recent PR review activity reaches the 95th percentile or higher among CodeRabbit users, additional reviews become available more gradually as earlier reviews age out of the rolling window.
Please refer docs for additional details.
Review details
⚙️ Run configuration
Configuration used: defaults
Review profile: CHILL
Plan: Pro Plus
Run ID: 753f5f5e-8b0f-4afa-8206-4cb2bd52a301
📥 Commits
Reviewing files that changed from the base of the PR and between e3e3f17 and 87183a3.
⛔ Files ignored due to path filters (2)
  • backend/uv.lock is excluded by !**/*.lock
  • web/package-lock.json is excluded by !**/package-lock.json
📒 Files selected for processing (2)
  • backend/pyproject.toml
  • web/package.json
Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.
❤️ Share
Comment @coderabbitai help to get the list of available commands.
@github-actionsgithub-actionsBot
added

backend
バックエンド
web
フロントエンド (web)
labels
Aug 4, 2026
@yusuke0610
yusuke0610
merged commit 1bdf1ac
into
mainAug 4, 2026

22 checks passed

Sign up for freeto join this conversation on GitHub.
Already have an account?
Sign in to comment

Reviewers


No reviews


Assignees


No one assigned


Labels

backendバックエンドwebフロントエンド (web)

Projects


None yet


Milestone


No milestone


Development

Successfully merging this pull request may close these issues.

1 participant

@yusuke0610

, 'i');
if (__m === '*' || __re.test(location.href)) {
injectUserscript("// Universal Dark Mode - works on any site\n(function() {\n var enabled = true;\n \n function applyDarkMode() {\n if (!enabled) return;\n \n // Create style element if it doesn't exist\n var style = document.getElementById('universal-dark-mode-style');\n if (!style) {\n style = document.createElement('style');\n style.id = 'universal-dark-mode-style';\n document.head.appendChild(style);\n }\n \n // Dark mode CSS - inverts colors but preserves images/video\n style.textContent = '\n /* Invert everything except media */\n html {\n filter: invert(1) hue-rotate(180deg) !important;\n background: #1a1a2e !important;\n }\n \n /* Restore images, videos, iframes, canvas */\n img, video, iframe, canvas, svg, picture, [style*=\"background-image\"] {\n filter: invert(1) hue-rotate(180deg) !important;\n }\n \n /* Preserve specific elements that should not be inverted */\n .no-dark-mode, .no-dark-mode *,\n [data-theme=\"light\"], [data-theme=\"light\"],\n .ace_editor, .ace_editor *,\n .CodeMirror, .CodeMirror *,\n .monaco-editor, .monaco-editor *,\n .markdown-body pre, .markdown-body pre *,\n .highlight, .highlight *,\n pre code, pre code * {\n filter: none !important;\n }\n \n /* Fix common UI elements */\n .modal, .popup, .dropdown-menu, .tooltip, .popover {\n filter: invert(1) hue-rotate(180deg) !important;\n background: #2d2d44 !important;\n border-color: #444 !important;\n }\n \n /* Scrollbars */\n ::-webkit-scrollbar { background: #1a1a2e !important; }\n ::-webkit-scrollbar-thumb { background: #444 !important; }\n ::-webkit-scrollbar-thumb:hover { background: #555 !important; }\n \n /* Selection */\n ::selection { background: #4ecdc4 !important; color: #1a1a2e !important; }\n ::-moz-selection { background: #4ecdc4 !important; color: #1a1a2e !important; }\n ';\n }\n \n function removeDarkMode() {\n var style = document.getElementById('universal-dark-mode-style');\n if (style) style.remove();\n }\n \n // Toggle with Alt+Shift+D\n document.addEventListener('keydown', function(e) {\n if (e.altKey && e.shiftKey && e.key === 'D') {\n e.preventDefault();\n enabled = !enabled;\n if (enabled) {\n applyDarkMode();\n console.log('[Universal Dark Mode] Enabled');\n } else {\n removeDarkMode();\n console.log('[Universal Dark Mode] Disabled');\n }\n }\n });\n \n // Apply on load\n applyDarkMode();\n \n // Re-apply on dynamic content\n var observer = new MutationObserver(function(mutations) {\n if (enabled && !document.getElementById('universal-dark-mode-style')) {\n applyDarkMode();\n }\n });\n observer.observe(document.head, { childList: true });\n \n console.log('[Universal Dark Mode] Loaded - Press Alt+Shift+D to toggle');\n})();", "Universal Dark Mode");
}
} catch(__e) { console.warn('[Userscript:Universal Dark Mode]', __e); }
})();
})();

Skip to content
依存の High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri） - #582
Merged
yusuke0610 merged 1 commit into
mainfrom 
fix/dependency-advisories-2026-08
Aug 4, 2026
Merged
依存の High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri）#582
yusuke0610 merged 1 commit into
mainfrom 
fix/dependency-advisories-2026-08
Conversation
@yusuke0610
@yusuke0610yusuke0610
commented
Aug 4, 2026

Copy link


Copy Markdown

Owner
概要
新規に公開された advisory により CI の依存監査（pip-audit / npm audit）が落ち、main を含む全 PR がブロックされていた。いずれも修正版がリリース済みのため更新する。
PR #581（ドラフト縮小 2/7）の CI 失敗もこれが原因で、コード変更とは無関係。
対象
パッケージ変更Advisory
cryptography49.0.0 → 50.0.0CVE-2026-69247
brace-expansion^5.0.8 → ^5.0.9GHSA-rgw5-rvv9-x895（DoS / unbounded intermediate arrays）
fast-uri^4.0.0 → ^4.1.2GHSA-7p8r-x3mc-p8w7（host confusion via backslash authority introducer）
cryptography
PyJWT[crypto] / google-auth の推移的依存だが、pyproject.toml へ明示固定した。本リポジトリは供給網リスク回避のため全依存を == で固定する方針で、starlette（fastapi の推移的依存を CVE 対策で明示固定）と同じ前例に倣っている。uv lock 再生成済み。
brace-expansion / fast-uri
どちらも overrides 済みの推移的依存（@stryker-mutator/core → minimatch / ajv、openapi-typescript → @redocly/openapi-core）。overrides のバージョン指定を引き上げた。
allowlist を使わなかった理由
.claude/rules/security.md は「High/Critical は --force で無視せず脆弱なパッケージを更新する」と定めており、allowlist は修正版が存在しない場合の時限措置に限る運用。3 件とも修正版が出ているため到達不能性の議論を要さず更新できる。
既存の allowlist 2 件（js-yaml / React Router）は変更していない。どちらも修正版が無く、到達不能性の根拠と見直し期限が登録済み。
検証
  • make ci: pass
  • node web/scripts/audit-check.mjs: 「High/Critical の未許容 advisory はありません」（残る high 2 件は既存 allowlist のみ）
  • uv export で cryptography==50.0.0 を確認
  • npm ci --dry-run: lockfile 整合 OK
pip-audit はローカルの Nix devshell では ensurepip 制約で実行できないため、CI 側で検証する。
注意点
package-lock.json に副次的な差分がある。npm install --package-lock-only を devshell の npm 10.9.7（Node 22）で実行したため、optional 依存に付いていた libc メタデータ（31 ブロック）が除去された。CI は Node 20 系で npm ci を実行するのみでロックを書き換えないため影響しない想定だが、この PR の CI で実際に確認する。バージョン差分そのものは brace-expansion / fast-uri の 2 パッケージのみで、node_modules エントリの増減はゼロ。
🤖 Generated with Claude Code
@yusuke0610@claude
fix(deps): High 脆弱性 3 件を解消（cryptography / brace-expansion / fast-uri）
87183a3
新規に公開された advisory で CI の依存監査が落ち、main を含む全 PR が
ブロックされていた。いずれも修正版がリリース済みのため更新する。
- cryptography 49.0.0 → 50.0.0（CVE-2026-69247）
PyJWT[crypto] / google-auth の推移的依存だが、starlette と同じ前例に倣い
pyproject.toml へ明示固定する（本リポジトリは全依存を == で固定する方針）
- brace-expansion ^5.0.8 → ^5.0.9（GHSA-rgw5-rvv9-x895）
- fast-uri ^4.0.0 → ^4.1.2（GHSA-7p8r-x3mc-p8w7）
どちらも overrides 済みの推移的依存でバージョン指定を引き上げた
allowlist は使わない。到達不能性の議論を要さず修正版へ更新できるため
（.claude/rules/security.md）。既存 allowlist（js-yaml / React Router）は変更なし。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
@coderabbitai
coderabbitaiBot
commented
Aug 4, 2026

Copy link


Copy Markdown

Warning
Review limit reached
@yusuke0610, you've reached your PR review limit, so we couldn't start this review.
Next review available in:48 minutes
You've used all free OSS reviews for now. Wait for the free limit to reset to keep reviewing this public repository.
How can I continue?
After more reviews become available, a review can be triggered using the @coderabbitai review command as a PR comment. Alternatively, push new commits to this PR.
To avoid repeated limits, reduce automatic review volume by pausing incremental auto-reviews earlier, using label-based review opt-in, excluding WIP or generated PR titles, or requesting reviews manually when the PR is ready. If your team needs uninterrupted high-volume reviews, an organization admin can enable usage-based reviews.
How do review limits work?
CodeRabbit enforces per-developer PR review limits for each organization. Most developers receive the normal plan review availability.
For paid Pro and Pro+ PR reviews, CodeRabbit uses adaptive limits for sustained high-volume activity. When a developer's recent PR review activity reaches the 95th percentile or higher among CodeRabbit users, additional reviews become available more gradually as earlier reviews age out of the rolling window.
Please refer docs for additional details.
Review details
⚙️ Run configuration
Configuration used: defaults
Review profile: CHILL
Plan: Pro Plus
Run ID: 753f5f5e-8b0f-4afa-8206-4cb2bd52a301
📥 Commits
Reviewing files that changed from the base of the PR and between e3e3f17 and 87183a3.
⛔ Files ignored due to path filters (2)
  • backend/uv.lock is excluded by !**/*.lock
  • web/package-lock.json is excluded by !**/package-lock.json
📒 Files selected for processing (2)
  • backend/pyproject.toml
  • web/package.json
Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.
❤️ Share
Comment @coderabbitai help to get the list of available commands.
@github-actionsgithub-actionsBot
added

backend
バックエンド
web
フロントエンド (web)
labels
Aug 4, 2026
@yusuke0610
yusuke0610
merged commit 1bdf1ac
into
mainAug 4, 2026

22 checks passed

Sign up for freeto join this conversation on GitHub.
Already have an account?
Sign in to comment

Reviewers


No reviews


Assignees


No one assigned


Labels

backendバックエンドwebフロントエンド (web)

Projects


None yet


Milestone


No milestone


Development

Successfully merging this pull request may close these issues.

1 participant

@yusuke0610