fix(deps): Next.js 16.3.8 and patched transitive packages; dated braces exception (#115)

[Fluory]

Warum

Fixes #115 · blockiert jeden Code-PR (gefunden in #114)

Arbeitsstand

• Ziel: pnpm audit --audit-level high wieder grün.
• Nicht-Ziele: moderate/low ohne High (esbuild via drizzle-kit).
• Erledigt: next + eslint-config-next 16.3.8, Lockfile: sharp 0.35.5, source-map-js 1.2.2; braces-Ausnahme (nur diese GHSA) + Register-Eintrag; CHANGELOG.
• Offen: Merge nach Review.
• Annahmen: keine.
• Nächster kleinster Schritt: Review.

Was ist passiert (Klartext)

Seit Ende September sind Sicherheitsmeldungen zu Next.js und zwei Unterpaketen erschienen; die automatische Sicherheitsprüfung hat deshalb jede Code-Änderung blockiert. Die Pakete sind jetzt auf gepatchten Versionen. Für ein Paket (braces) gibt es noch keinen Fix; es steckt nur im Lint-Werkzeug, nicht in der ausgelieferten App, und ist darum als befristete, dokumentierte Ausnahme eingetragen.

Plan-Pflicht (SYSTEM.md §4)

• Kein Auslöser – keine Modulgrenze, öffentliche API, Migration, Auth/Rechte, kein Zahlungs-/Daten-/Infrapfad, höchstens zwei Module, keine Architekturvarianten, umkehrbar
• Auslöser zutreffend – Impact Manifest ausgefüllt (Plan vor Code)

Geändert

• package.json: next/eslint-config-next 16.3.8; pnpm.auditConfig.ignoreGhsas = GHSA-vfj7-8cjw-p6xm
• pnpm-lock.yaml: dazu Patch-Sprünge im vite-Teilbaum (postcss 8.5.28→8.5.29, rolldown 1.2.9→1.2.13), innerhalb der Bereiche
• docs/technical/architecture.md: Ausnahmen-Register; CHANGELOG.md: Security

Nachweis (SYSTEM.md §11)

• verify:changed: grün – pnpm audit --audit-level high Exit 0 (1 high ignoriert, 1 moderate)
• verify: grün – CI check Run 37975167713 (inkl. E2E, Label verify-full)
• verify:full / E2E-Spec: Label verify-full (UI-Framework-Upgrade)
• Manueller Prüfnachweis: pnpm why braces --prod leer
• Frischer Review (P1 vor Ready-for-review; Architektur/API/DB immer): noch offen

Doku-Entscheidung (genau eine)

• Keine langlebige Doku betroffen – Begründung: –
• Doku betroffen und im selben PR aktualisiert:
  • Produktdoku (P0: README): –
  • Technische Doku: –
  • Architekturkarte: docs/technical/architecture.md (Ausnahmen-Register)
  • ADR: –
  • CHANGELOG [Unreleased] (sichtbares Feature oder Verhalten – im selben PR, nie „später"): Security security(deps): high audit advisories on next, sharp, source-map-js; braces has no fix #115

Entferntes oder Umbenanntes: docs/ + README gegrept, Treffer bereinigt: nichts entfernt

Dateigrößen und neue Bausteine (SYSTEM.md §7)

Dateien über 500 Zeilen im Diff (Ausnahmen: generierter Code, Lockfiles, Fixtures, Migrationen, Schemas, Ressourcen, Doku, Konfiguration):

• keine
• bewusst belassen – Begründung: –
• im selben PR nach fachlicher Verantwortung geteilt
• Folge-Issue –

Über 800 Zeilen mit neuer Fachlogik oder über 1000 Zeilen (P1/P2): nicht betroffen

Neue Shared-Komponente, Utility-Datei, Adapter oder fachlicher Service:

• nein
• ja – gesucht nach: –

Risiken / offene Punkte

• Patch-Upgrade des UI-Frameworks; Rollback = Revert.

🤖 Generated with Claude Code

[vercel]

The latest updates on your projects. Learn more about Vercel for GitHub.

Project	Deployment	Actions	Updated
requestflow	Ready	Preview	Oct 9, 2026 6:48pm UTC
requestflow-ai	Error		Oct 9, 2026 6:48pm UTC

[Fluory]

Frischer Review (Reviewer-Rolle)

• [Note] CI – check (inkl. E2E) und compose-smoke grün. Vercel – requestflow-ai rot, aber identisch schon auf main – nicht durch diesen PR verursacht.
• [Note] package.json – nur next und eslint-config-next 16.3.6 → 16.3.8 (im Gleichschritt) plus pnpm.auditConfig.ignoreGhsas mit genau GHSA-vfj7-8cjw-p6xm. Keine weiteren Versionssprünge.
• [Note] pnpm-lock.yaml – sharp 0.35.5 (+ libvips 1.3.4), source-map-js 1.2.2 (laut Beschreibung), keine Overrides; zusätzlich Patch-Sprünge rolldown 1.2.9→1.2.13 / postcss 8.5.29 im vite-Teilbaum, innerhalb der Bereiche, in der PR-Beschreibung offengelegt – unkritisch.
• [Note] docs/technical/architecture.md – Register-Eintrag mit Begründung (nur Dev-Tooling-Pfad, pnpm why braces --prod leer), Owner und Ablauf spätestens 2026-12-31. Erfüllt das Kriterium.
• [Note] CHANGELOG.md – Security-Eintrag unter [Unreleased] mit Verweis security(deps): high audit advisories on next, sharp, source-map-js; braces has no fix #115.
• [Note] Secrets – keine im Diff. PR-Klartext verständlich; Manifest-Plan-Pflicht korrekt als nicht ausgelöst begründet.

Verdict: mergeable – keine Blocker; alle Akzeptanzkriterien aus #115 erfüllt.