[diegosouzapw]

Zera os 11 alertas abertos do Dependabot (https://github.com/diegosouzapw/OmniRoute/security/dependabot) — mudança lockfile-only + 1 override cirúrgico; nenhum código de runtime alterado.

Alertas resolvidos

Pacote	Sev	Advisory	De → Para	Manifests	Alertas
js-yaml	high	CVE-2026-59869 / GHSA-52cp-r559-cp3m	4.2.0 → 4.3.0	raiz + electron	#110, #114
brace-expansion	high	CVE-2026-13149 / GHSA-3jxr-9vmj-r5cp	1.1.13/1.1.15 → 1.1.16 · 2.1.1 → 2.1.2 · 5.0.6 → 5.0.7	raiz + electron	#107–#109, #111–#113
shell-quote	high	CVE-2026-13311 / GHSA-395f-4hp3-45gv	1.8.4 → 1.10.0	raiz	#119
tar	medium	CVE-2026-59871 / GHSA-w8wr-v893-vjvp	7.5.16 → 7.5.20	raiz + electron	#118, #123

Todos são DoS/crash (ReDoS / complexidade quadrática-exponencial / PAX crash); o único em escopo runtime é o js-yaml do electron/package-lock.json (dep do electron-updater).

Por que o override de shell-quote

concurrently (já na última versão, 10.0.3) pina shell-quote exato em 1.8.4 — nenhum bump do pai resolve. O override por-pai (overrides.concurrently.shell-quote: "^1.9.0") segue o padrão já existente no repo (@yarnpkg/parsers.js-yaml, jsdom.undici, node-gyp.undici) e resolve para 1.10.0. concurrently é devDependency (scripts dev); não embarca em produção.

Validação

• Diff auditado estruturalmente (comparação packages{} HEAD vs working nos dois locks): apenas os 4 pacotes acima mudaram de versão — nenhuma carona.
• npm update --package-lock-only / npm install --package-lock-only (lock v3, mesmo fluxo do Dependabot); árvore resolvida sem vulnerabilidades (found 0 vulnerabilities).
• Sem teste novo: não há mudança de código de produção (mesma política dos bumps semanais do Dependabot, ex. deps: bump the development group with 5 updates #7898); as suítes completas do CI validam a árvore resolvida.

[gemini-code-assist]

Warning

You have reached your daily quota limit. Please wait up to 24 hours and I will start processing your requests again!

[diegosouzapw]

Revisado — PR limpo e bem auditado. Confirmei de forma independente (diff estrutural direto dos dois package-lock.json, comparando packages{} HEAD vs PR) que exatamente os 4 pacotes citados mudaram de versão, sem nenhuma carona: brace-expansion (várias cópias aninhadas), js-yaml, shell-quote, tar. Nada mais no grafo de dependências foi tocado.

O override overrides.concurrently.shell-quote: "^1.9.0" resolve corretamente para 1.10.0 na árvore final (verifiquei a entrada top-level node_modules/shell-quote no lock resultante) — o padrão segue exatamente os overrides por-pai já existentes (@yarnpkg/parsers.js-yaml, jsdom.undici, node-gyp.undici).

Confirmei também o escopo runtime vs dev: js-yaml no electron/package-lock.json não tem dev:true (é dependência real do electron-updater, como o PR afirma); tar no mesmo lock tem dev:true. Bate exatamente com o que a descrição do PR alega.

19/19 checks de CI verdes (CodeQL, semgrep ×2, dast-smoke, Fast Quality Gates, Unit Tests 4/4 shards, Vitest, docs gates, merge-integrity). Sem alteração de código de produção — dispensa teste novo pela mesma política já usada em #7898.

Merge-ready.

[diegosouzapw]

Validated in local merge-train on tomni-proxmox-113 @ 6ca99b4c0268634827d021be29b5dde75d30c7bc (FAST gates green: static + changed tests + vitest)