chore(deps): Dependabot alert 8件（undici・brace-expansion）に対応

[ddryo]

概要

0.31.0のデプロイ直後に、mainのスキャンでDependabot alertが新しく8件（high 1 / medium 4 / low 3）出た。すべて開発用の間接依存で、公開パッケージの実行時依存には含まれない。

パッケージ	更新前	更新後	alert	依存元
undici	7.29.0	7.29.1	#261-#264, #267, #268	wrangler → miniflare
brace-expansion 1.x	1.1.17	1.1.21	#274	minimatch@3（eslint）
brace-expansion 5.x	5.0.7	5.0.12	#273	minimatch@10（typescript-eslint）

変更

• pnpm-workspace.yamlのoverridesのうち、undiciを^7.29.1へ、brace-expansion 1.xを^1.1.21へ引き上げた。
• brace-expansion 5.xは、依存範囲内の更新なのでlockfileだけを更新した。一時的にoverrideを入れて解決し、そのあと外している。
• 修正版の公開日はundiciが9/4、brace-expansionが9/14で、minimumReleaseAge（7日）を満たす。

確認

• nr lintが成功した。
• pnpm exec wrangler --versionが動作した（4.136.3）。
• lockfileの差分は、undiciとbrace-expansionだけになっている。

alertはmainにマージされてから閉じる。

🤖 Generated with Claude Code

https://claude.ai/code/session_01QVLjowgyFC3LjAypkdh6PW

Summary by CodeRabbit

• セキュリティ
  • undici と brace-expansion の依存バージョン指定を更新しました。

[coderabbitai]

Navigate logical layers of code changes, visualize relationships, and explore their blast radius.

No actionable comments were generated in the recent review. 🎉

ℹ️ Recent review info

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Advanced

Run ID: e95f6c2b-667e-4e3b-8fec-f465155ea3e9

📥 Commits

Reviewing files that changed from the base of the PR and between 4dc6960 and e1854cf.

⛔ Files ignored due to path filters (1)

• pnpm-lock.yaml is excluded by !**/pnpm-lock.yaml

📒 Files selected for processing (1)

• pnpm-workspace.yaml

Included review availability: This review used your included allowance. Your plan provides up to 2 included reviews per hour; 1 remain after this review.

---

📝 Walkthrough

Walkthrough

pnpm-workspace.yaml の undici と brace-expansion の依存関係 override を更新しました。各パッケージに関する脆弱性の説明をコメントに追加しました。

Changes

依存関係の override

Layer / File(s)	Summary
override バージョンとコメントの更新 pnpm-workspace.yaml	undici の override を <7.29.1／^7.29.1 に、brace-expansion の override を <1.1.21／^1.1.21 に変更しました。TLS 検証バイパスと二乗時間の展開による DoS に関するコメントを追加しました。

Priority: ➖ Normal

Estimated code review effort: 2 (Simple) | ~10 minutes

Change: Other

Merge Risk: ⚪ Minimal · up to e1854

The dependency updates resolve to the intended patched versions. No actionable merge-blocking risk was identified.

Architecture Summary

Architecture risk: 🔵 Low · up to e1854

The change affects 1 system.

Changed systems: pnpm-workspace.yaml

Architecture concerns
No architecture-level concerns identified.

Review details

Systems and components

• observed — pnpm-workspace.yaml (service) was modified; 1 changed file maps to changed impact.

Before / after behavior

• observed — Modified behavior in pnpm-workspace.yaml: undici の override を <7.29.0／^7.29.0 から <7.29.1／^7.29.1 に変更し、コメントに BalancedPool での TLS 検証バイパスを追加しました。
• observed — Modified behavior in pnpm-workspace.yaml: brace-expansion の override を <1.1.16／^1.1.16 から <1.1.21／^1.1.21 に変更し、コメントに {a},b} の二乗時間展開による DoS を追加しました。

🚥 Pre-merge checks | ✅ 4

✅ Passed checks (4 passed)

Check name	Status	Explanation
Description Check	✅ Passed	Check skipped - CodeRabbit’s high-level summary is enabled.
Title check	✅ Passed	タイトルは、undici と brace-expansion に関する8件のDependabotアラートへの対応を明確に示しています。変更内容と一致し、簡潔です。
Linked Issues check	✅ Passed	Check skipped because no linked issues were found for this pull request.
Out of Scope Changes check	✅ Passed	Check skipped because no linked issues were found for this pull request.

✨ Finishing Touches

🧪 Generate unit tests (beta)

• Commit to this branch
• Create a new PR

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{うさぎはパッチを見つけたよ
undici の版をそっと更新
brace-expansion も新しい版
コメントを読んで耳を立て
ぴょんと跳ねて作業を祝う♪}

_{Comment @coderabbitai help to get the list of available commands.}