fix(deps): 2026-07-27 audit 波の high 脆弱性を解消する

[april418]

Summary

2026-07-27 に公開された advisory 波で pnpm audit が high を検出し CI が赤くなっていたのを解消するのだ。既存の override をすり抜けていたのがポイントで、単純にバージョンを足すだけでは直らなかったのだ。

すり抜けの原因（2 つあるのだ）

1. セレクタの上限が固定値だった

既存 override は 'brace-expansion@>=3 <5.0.7': '>=5.0.7' の形で、5.0.7 に固定するものだったのだ。今回 5.0.7 自身が脆弱化（<=5.0.7 が対象）したので、5.0.7 に居座っているパッケージはセレクタにマッチせず素通りしたのだ。上限を <5.0.8 / >=5.0.8 へ引き上げたのだ。

2. override セレクタは「解決後の版」ではなく「親が宣言するレンジ」にマッチする

js-yaml は eslint 系が ^4 で宣言していて、既存の 'js-yaml@4': '>=4.3.0' が上限なしのため実際には 5 系（5.2.1）が入っていたのだ。ここに 'js-yaml@5': '>=5.2.2' を足しても宣言レンジ ^4 と交差しないので永久に発火しないのだ。既存 override の下限を >=5.2.2 に引き上げる形で修正したのだ。

brace-expansion 1 系 / 2 系の扱い

新 advisory は <=5.0.7 が対象で、1 系・2 系には安全版が存在しないのだ。これらを要求しているのは minimatch の旧メジャーなので、minimatch を brace-expansion 5 系を使う 10 系へ引き上げて解消したのだ。

Changes

• brace-expansion@>=3 <5.0.7 → >=3 <5.0.8 / >=5.0.8（セレクタごと引き上げ）
• brace-expansion@1 / @2 → >=5.0.8、あわせて minimatch@<10.0.0: '>=10.2.4'
• js-yaml@4 の下限を >=5.2.2 へ
• postcss@<8.5.18: '>=8.5.18' / fast-uri@>=3.0.0 <3.1.4: '>=3.1.4' を追加
• minimumReleaseAgeExclude に brace-expansion / js-yaml を追加（2026-07-31 以降に削除）

（repo により元々の override 構成が異なるため、実際の差分は上記の一部になるのだ）

Test plan

• pnpm audit で high / critical 0 件
• CI green を確認

Co-Authored-By: Claude noreply@anthropic.com