fix(deps): sharp の high 脆弱性 (GHSA-rgj7-g3m4-5g8c) を override で塞ぐ — miniflare が exact pin していて dependabot が解けない

[shinyaoguri]

dependabot PR (#287 / #288 / #289) のマージ対応中に、Dependabot Updates の security update が sharp で失敗し続けていることに気づいたので起票する (本題とは無関係)。#270 (nanoid) とまったく同じ「上流が脆弱版を exact pin していて dependabot 単独では解けない」型。

現象

npm_and_yarn in /. for sharp - Update が failure。直近だけで 2 回 (34377916785 / 34378011723)。

脆弱性

項目	値
alert	#61
GHSA	GHSA-rgj7-g3m4-5g8c
severity	high
概要	sharp: Vulnerabilities in libheif (GHSA-g89c-p67h-r497 / GHSA-2jg2-4ch7-h545)
影響範囲	< 0.35.4
初回修正版	0.35.4 (公開済み・現在の latest)
scope	development

依存経路と、dependabot が解けない理由

typedcode@1.1.0
`-- wrangler@4.127.1 (dev)
  `-- miniflare@5.20260828.0-alpha
    `-- sharp@0.35.2   <- exact pin

miniflare は sharp を 範囲ではなく exact 0.35.2 で要求している。最新の miniflare@5.20260908.0-alpha を見ても依然 0.35.2 なので、wrangler / miniflare を上げても解消しない (#288 で wrangler 4.115.0 → 4.127.1 に上げた後も alert は open のまま)。dependabot には手が無く、毎月 failure で終わる。

影響

• dev 依存のみ (wrangler dev / miniflare のローカル実行時)。本番バンドル・Workers のデプロイ成果物には入らない
• 脆弱性は libheif の HEIF/AVIF デコード。TypedCode は画像を一切デコードしないので、この利用形態では到達しない見込み
• 実害よりも衛生の問題 (high alert が open のまま、Dependabot Updates が毎回赤、npm audit が赤)

対応案

root package.json の overrides に 1 行足す:

"sharp": "^0.35.4"

0.35.2 → 0.35.4 は patch で API 互換。sharp はネイティブバイナリを持つので、適用後は npm ci が optionalDependencies (@img/sharp-*) を正しく取り直すことと、npm run dev:workers / e2e が動くことを確認する。

なお #270 のトリアージでは override より lock 更新 (案 B) が推奨されているが、今回は lock 更新では解けない (miniflare の要求が exact のため、npm update sharp では 0.35.2 から動かない)。override が唯一の手段になる。

関連

• fix(deps): nanoid の high 脆弱性 (GHSA-2v37-7h3g-55p8) を override で塞ぐ — dependabot の自動更新が失敗し続けている #270 — 同型 (nanoid / postcss)。同じ package-lock.json を触るので同じ PR に同乗させると lock 衝突が 1 回で済む。fix(deps): nanoid の high 脆弱性 (GHSA-2v37-7h3g-55p8) を override で塞ぐ — dependabot の自動更新が失敗し続けている #270 のトリアージが挙げている dead override (uuid) の掃除と chore: 鮮度チェックの検知結果 (自動) #261 の dead stub devDep も同乗候補
• ci(deps): bump the production-dependencies group with 3 updates #287 / ci(deps-dev): bump the dev-dependencies group with 11 updates #288 / ci(deps): bump actions/cache from 4 to 6 in the github-actions group #289 — この件に気づいた dependabot PR (いずれもマージ済み)

---

_{🤖 Assisted by Claude Code}

[shinyaoguri]

着手時のプラン

fix(deps): sharp を override で 0.35.4 に上げ、dead な uuid override を外す

Context

Issue #307 の対応。dependabot PR (#287 / #288 / #289) をマージした際に、Dependabot Updates の
security update が sharp で失敗し続けていることに気づいて起票したもの。

• alert Bump the dev-dependencies group with 6 updates #61 / GHSA-rgj7-g3m4-5g8c / high / sharp < 0.35.4 (libheif の HEIF/AVIF デコード脆弱性)
• 依存経路は wrangler (dev) → miniflare 5.20260828.0-alpha → sharp 0.35.2 で、
  miniflare が exact 0.35.2 で pin している。最新の miniflare@5.20260908.0-alpha も同じ
  → wrangler / miniflare を上げても解決せず、dependabot には手が無い (毎月 failure で終わる)
• したがって override が唯一の手段。これは fix(deps): undici を override で 7.29.0 に上げ、dead な rollup override を外す #259 (undici を override で 7.29.0 に上げた) と
  まったく同じパターンの二例目 (undici も miniflare の exact pin だった)

実害の見立て: sharp は miniflare の Images binding ハンドラ内で動的 import されるだけで
(node_modules/miniflare/dist/src/index.js の await import("sharp"))、本リポの 3 つの wrangler
設定 (wrangler.toml / wrangler.staging.toml / wrangler.production.toml) に Images binding は
無く、packages/workers/src に IMAGES の参照もゼロ。インストールされるが実行されない dev 依存。
本番 Worker には配布されない。よって衛生の問題 (high alert が open、Dependabot が毎回赤、
npm audit が赤) であって、実行時のリスクではない。

変更点

対象は package.json と package-lock.json の 2 ファイルのみ (#259 と同じ粒度)。

1. package.json の overrides に sharp を追加

"overrides": {
  "vite": "^8.0.5",
  "dompurify": "^3.4.5",
  "ws": "^8.20.1",
  "undici": "^7.29.0",
  "sharp": "^0.35.4"
}

0.35.2 → 0.35.4 は patch で API 互換。sharp 0.35.4 は publish 済み (現 latest)。

2. dead な uuid override を外す (上の例で既に消してある)

lockfile 全エントリの要求範囲を走査した結果、uuid は 依存元 0 件・lock にエントリ 0 件。
唯一の依存元だった vite-plugin-top-level-await を #256 で外した時点で dead になっていた
(#259 は同じ原因で dead になった rollup override だけを外し、uuid を見落としていた)。
#270 のトリアージが挙げていた宿題でもある。

残る 3 つは触らない:

override	判定	根拠
dompurify ^3.4.5	live・必須	monaco-editor@0.56.0 が exact 3.4.8 を要求するのを上書きして 3.4.14 に載せている
vite ^8.0.5 / ws ^8.20.1	冗長だが floor として無害	override 無しでも同じ版に解決する。#270 のトリアージの結論どおり今回は触らず、次回点検の対象として残す
undici ^7.29.0	同上 (miniflare が exact 7.29.0)	#259 で入れたばかり

3. 副産物: #270 (nanoid) は既に解消しているので close する

npm audit の現状は high 3 件がすべて sharp 由来 (sharp / それを含む miniflare / wrangler)。
#270 が追っていた nanoid は alert から消えている。lockfile を確認すると
postcss@8.5.26 が ^3.3.17 を要求し nanoid@3.3.18 に解決済み。#288 (dev deps 一括更新) で
vite → postcss が上がった結果、#270 のトリアージが推奨していた案 B (lock 更新で塞ぐ) が
事実上そのまま実現していた。

→ コード変更は不要。#270 には事実と根拠を記したコメントを残して close する
(この PR には含めない。ただし PR 本文からは経緯として参照する)。

検証

npm ci から始める (この worktree の node_modules は lockfile と乖離しており、
npm ls sharp が wrangler@4.114.0 / miniflare@4.20260722.0 を指している)。
CI は全 job で --include=optional を使うので揃える。sharp はプラットフォームバイナリを
optionalDependencies (@img/sharp-* / @img/sharp-libvips-*) で持つため、解決漏れがないことが
今回いちばん確認したい点。

npm ci --include=optional          # lockfile 更新後にもう一度
npm audit                          # high 3 件 → 0 件になるはず
npm ls sharp                       # 0.35.4 に解決されていること
npm run typecheck && npm run lint && npm run build
npm run test:run --workspaces --if-present
npm run deploy:staging -w @typedcode/workers -- --dry-run --outdir /tmp/wrangler-dryrun-staging
npm run deploy:production -w @typedcode/workers -- --dry-run --outdir /tmp/wrangler-dryrun-production
npm run test -w @typedcode/e2e     # wrangler dev = miniflare が実際に起動する唯一の経路

本当に効くのは wrangler dry-run と e2e の 2 つ。unit test は sharp と無関係だが CI ゲートなので回す。
packages/workers/vitest.config.ts は environment: 'node' の素の vitest で、
@cloudflare/vitest-pool-workers は使っていない (= unit は miniflare を起動しない)。

e2e は packages/e2e/playwright.config.ts の webServer が npm run dev -w @typedcode/workers
(= wrangler dev) を起動するので、ここが green なら miniflare が sharp 0.35.4 入りの
node_modules で正常起動することの証明になる。

PR

• ブランチ: fix/deps-hygiene (origin/main = 93740bb から作成済み)
• タイトル: fix(deps): sharp を override で 0.35.4 に上げ、dead な uuid override を外す
  (人手の依存修正は fix(deps): undici を override で 7.29.0 に上げ、dead な rollup override を外す #259 の慣行どおり ci(deps): ではなく fix(deps):)
• 本文: PR テンプレートの構成に沿って ## Summary / ## Test plan / ## Related issues を埋め、
  fix(deps): undici を override で 7.29.0 に上げ、dead な rollup override を外す #259 の慣行に倣って「目的 (dependabot が解けない理由と依存経路)」「影響度 (dev scope・
  本番非配布・Images binding 未使用で到達不能)」「変更点」を書く。Closes #307 を本文に置く
  (squash merge ではコミット側の名乗りが GitHub に届かないため)
• ラベル: pkg:* は labeler が自動付与。security を手動で付ける
• CI (check / test / e2e) が green なら squash merge し、メインのチェックアウトで git sweep

---

このプランは着手時点の判断です。実装の過程で変わった場合は、このコメントに返信する形で差分を残してください。

_{🤖 Assisted by Claude Code}