chore(deps): Dependabot alert 47件（critical 5 / high 13）に対応

[ddryo]

概要

Dependabot alert 47件（critical 5 / high 13 / medium 25 / low 4）に対応するため、依存を修正版へ更新します。

変更内容

対象	変更	対応するアラート
packages/lism-css / packages/lism-ui の devDependencies	astro を ^6.4.8 から ^7.3.2 へ	astro（RCE via AVIF 最適化ほか）、sharp < 0.35.0
templates/minimal/next	next を ^16.3.5 へ（16.3.6 に解決）	next（RCE 2件）
各 package.json	vitest 4.1.11 / sharp 0.35.4（apps/site）/ wrangler 4.136.3	vitest・@vitest/mocker、sharp
pnpm-workspace.yaml の overrides	hono / @hono/node-server / ip-address / svgo のレンジを修正版へ引き上げ、fflate を追加	hono、@hono/node-server、ip-address、svgo、fflate
pnpm-lock.yaml のみ	devalue / smol-toml / js-yaml / qs / browserslist / baseline-browser-mapping / fast-uri を範囲内で更新	各パッケージ

補足:

• lism-css / lism-ui の astro は、Astro コンポーネントのテスト（astro/container）・astro check・アイコン検証のための devDependency です。peerDependencies ではないため、利用者側の要件は変わりません。6.x には修正版が無いため 7 系へ上げています。
• wrangler は、依存する miniflare が sharp 0.34.5 を固定ピンしていたため更新しています（デプロイ用スクリプトでのみ使用）。
• satori は最新版でも fflate 0.7.3 を固定ピンしているため、fflate だけ override を追加しています。
• pnpm 10 の名前指定 update は間接依存に効かないため、ロックファイルのみの更新は一時的な override で解決してから外しています。

安全確認

• 新規に入った55バージョン全ての npm 公開日を確認し、最新でも 2026-09-22 で minimumReleaseAge（7日）を満たしている
• plain-crypto-js / axios の混入なし

確認

• nr build（16タスク、minimal-next は Next.js 16.3.6 でビルド）
• nr test（lism-css の Astro テスト、test:icon:astro / test:icons:astro を含む）
• nr lint
• nr typecheck（lism-css / lism-ui / site の astro check を含む）

Dependabot はデフォルトブランチ（main）だけを評価するため、アラートは dev へのマージでは閉じず、main へのリリース時に閉じます。

🤖 Generated with Claude Code

https://claude.ai/code/session_01PoEfZKVPV8WZaMttPdnJE6

Summary by CodeRabbit

• メンテナンス
  • 各種ツールとフレームワークを更新し、依存パッケージのバージョンを見直しました。
  • セキュリティや互換性に関わる依存パッケージの適用バージョンを更新しました。

[coderabbitai]

Navigate logical layers of code changes, visualize relationships, and explore their blast radius.

No actionable comments were generated in the recent review. 🎉

ℹ️ Recent review info

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Advanced

Run ID: c93c8a51-2aa2-4c3e-a411-d64b30a34033

📥 Commits

Reviewing files that changed from the base of the PR and between af34120 and 4867cfc.

⛔ Files ignored due to path filters (1)

• pnpm-lock.yaml is excluded by !**/pnpm-lock.yaml

📒 Files selected for processing (10)

• apps/catalog/package.json
• apps/site/package.json
• package.json
• packages/lism-css/package.json
• packages/lism-ui/package.json
• packages/mcp/package.json
• packages/mockup/package.json
• packages/plugin/package.json
• pnpm-workspace.yaml
• templates/minimal/next/package.json

Included review availability: This review used your included allowance. Your plan provides up to 2 included reviews per hour; 1 remain after this review.

---

📝 Walkthrough

Walkthrough

複数のアプリ、パッケージ、テンプレートの依存バージョン指定を更新しました。ワークスペースの override 範囲と固定バージョンも変更し、fflate の override を追加しました。

Changes

依存関係の更新

Layer / File(s)	Summary
ワークスペースの依存関係 override pnpm-workspace.yaml	Hono、@hono/node-server、ip-address、svgo の override 範囲と固定バージョンを更新しました。fflate の override を追加しました。
開発ツールのバージョン更新 apps/catalog/package.json, apps/site/package.json, package.json, packages/lism-css/package.json, packages/lism-ui/package.json, packages/mcp/package.json, packages/mockup/package.json, packages/plugin/package.json	複数のプロジェクトで Vitest と関連ツールのバージョン指定を更新しました。packages/lism-css と packages/lism-ui では Astro も更新しました。
アプリとテンプレートの依存関係更新 apps/site/package.json, templates/minimal/next/package.json	apps/site の sharp と、minimal/next テンプレートの next のバージョン指定を更新しました。

Priority: ⬆️ High

Estimated code review effort: 2 (Simple) | ~10 minutes

Change: Other

Suggested reviewers: torounit

Merge Risk: ⚪ Minimal · up to 4867c

This is a routine dependency security update with reported passing validation. I found no concrete merge-blocking risk in the supplied changes.

Architecture Summary

Architecture risk: 🔵 Low · up to 4867c

The change affects 10 systems.

Changed systems: apps/catalog, apps/site, package.json, packages/lism-css, packages/lism-ui, packages/mcp, packages/mockup, packages/plugin, pnpm-workspace.yaml, templates

Architecture concerns
No architecture-level concerns identified.

Review details

Systems and components

• observed — apps/catalog (service) was modified; 1 changed file maps to changed impact.
• observed — apps/site (service) was modified; 1 changed file maps to changed impact.
• observed — package.json (service) was modified; 1 changed file maps to changed impact.
• observed — packages/lism-css (library) was modified; 1 changed file maps to changed impact.

Before / after behavior

• observed — Modified behavior in apps/catalog/package.json: @vitest/browser-playwright のバージョン指定を ^4.1.10 から ^4.1.11 に変更しました。
• observed — Modified behavior in apps/catalog/package.json: vitest のバージョン指定を ^4.1.10 から ^4.1.11 に変更しました。
• observed — Modified behavior in apps/site/package.json: sharpの指定バージョンを^0.35.0から^0.35.4へ更新しました。
• observed — Modified behavior in apps/site/package.json: vitestの指定バージョンを^4.1.10から^4.1.11へ更新しました。

🚥 Pre-merge checks | ✅ 4

✅ Passed checks (4 passed)

Check name	Status	Explanation
Description Check	✅ Passed	Check skipped - CodeRabbit’s high-level summary is enabled.
Title check	✅ Passed	依存関係を更新して47件のDependabotアラートに対応する変更内容を、件数と重大度を含めて明確に示しています。
Linked Issues check	✅ Passed	Check skipped because no linked issues were found for this pull request.
Out of Scope Changes check	✅ Passed	Check skipped because no linked issues were found for this pull request.

✨ Finishing Touches

🧪 Generate unit tests (beta)

• Commit to this branch
• Create a new PR

Warning

Some tools did not complete. Review the errors below.

🔧 ESLint

If the error stems from missing dependencies, add them to the package.json file. For unrecoverable errors (e.g., due to private dependencies), disable the tool in the CodeRabbit configuration.

ESLint install timed out. The project may have too many dependencies for the sandbox.

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{うさぎが依存の更新を見つけた
Vitest の数字がひとつ進んだ
Astro と Next も新しくなった
override に fflate が加わった
月明かりの下、にんじんをかじった}

_{Comment @coderabbitai help to get the list of available commands.}