fix(deps): resolve ip-address/picomatch/brace-expansion advisories by keito4 · Pull Request #800 · keito4/config

keito4 · 2026-06-05T04:10:06Z

Why

dependabot が moderate 2件（ip-address XSS / picomatch method-injection）を報告。調査の結果、いずれも semantic-release → @semantic-release/npm → npm@11.11.1 が bundle する ip-address@10.1.0 / picomatch@4.0.3 由来で、npm を最新化しないと解消できなかった（npm audit ではさらに picomatch の high と brace-expansion の moderate も検出）。

What

overrides に "npm": "^11.16.0" を追加 → パッチ版の ip-address/picomatch を同梱する npm へ固定
npm audit fix で派生の brace-expansion（GHSA-jxxr-4gwj-5jf2）も解消

結果

npm audit → 0 vulnerabilities
jest 581 green / prettier OK

Risk

低。dev 依存（semantic-release 経路）のパッチ更新のみ。アプリ実行時依存への影響なし。

🤖 Generated with Claude Code

Summary by CodeRabbit

Chores
- Updated internal dependency overrides for improved compatibility.

dependabot が報告した moderate 2件（+ npm 同梱 picomatch の high 1件）は semantic-release → @semantic-release/npm → npm@11.11.1 が bundle する ip-address@10.1.0 / picomatch@4.0.3 由来だった。 - overrides に "npm": "^11.16.0" を追加し、パッチ版を同梱する npm へ固定 - npm audit fix で派生した brace-expansion (GHSA-jxxr-4gwj-5jf2) も解消結果: npm audit が 0 vulnerabilities。581 テスト green。 Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

coderabbitai · 2026-06-05T04:10:18Z

No actionable comments were generated in the recent review. 🎉

ℹ️ Recent review info

⚙️ Run configuration

Configuration used: defaults

Review profile: CHILL

Plan: Pro

Run ID: c9666490-eeb2-4056-9a6d-59952c787db3

📥 Commits

Reviewing files that changed from the base of the PR and between d412d5e and e0c3602.

⛔ Files ignored due to path filters (1)

package-lock.json is excluded by !**/package-lock.json

📒 Files selected for processing (1)

package.json

📝 Walkthrough

Walkthrough

This PR adds an explicit npm version override (^11.16.0) to the package.json overrides section, pinning the npm tool version used in this project.

Changes

npm Override Configuration

Layer / File(s)	Summary
npm override specification `package.json`	The `overrides.npm` field is set to `^11.16.0`, explicitly constraining the npm version used by the project.

Estimated code review effort

🎯 1 (Trivial) | ⏱️ ~2 minutes

Possibly related issues

keito4/config#782: Addresses npm-bundled dependency version constraints identified in an audit report.

Possibly related PRs

keito4/config#608: Both PRs update the pinned npm tool version for the project.
keito4/config#143: Both PRs adjust npm-related dependency versioning and configuration.
keito4/config#557: Both PRs modify package.json dependency override entries related to npm.

Suggested labels

released, size/S

Poem

🐰 A tiny hop, a npm pin,
^11.16.0 fits just right in,
Overrides reign, dependencies align,
One small change to make things shine!
📦✨

🚥 Pre-merge checks | ✅ 5

✅ Passed checks (5 passed)

Check name	Status	Explanation
Title check	✅ Passed	The title directly references the three advisories (ip-address, picomatch, brace-expansion) being resolved, which matches the main change in the PR of adding an npm override to fix dependency vulnerabilities.
Description check	✅ Passed	The description covers Why, What, and test results with clear context, but is missing optional sections like 'How to test' (with checkboxes), 'Checklist', and 'Related' sections from the template.
Docstring Coverage	✅ Passed	No functions found in the changed files to evaluate docstring coverage. Skipping docstring coverage check.
Linked Issues check	✅ Passed	Check skipped because no linked issues were found for this pull request.
Out of Scope Changes check	✅ Passed	Check skipped because no linked issues were found for this pull request.

_{✏️ Tip: You can configure your own custom pre-merge checks in the settings.}

✨ Finishing Touches

🧪 Generate unit tests (beta)

Create PR with unit tests
Commit unit tests in branch fix/deps-ip-address-picomatch

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

_{Comment @coderabbitai help to get the list of available commands and usage tips.}

claude · 2026-06-05T04:10:30Z

Claude finished @keito4's task in 1m 14s —— View job

コードレビュー

コンテキスト収集（package.json・差分確認）
セキュリティ脆弱性の対処方法を検証
レビューフィードバックの投稿

総評

verdict: APPROVE — minor 以下の指摘のみ。方針・実装ともに正しい。

Security ✅

脆弱性	GHSA	旧バージョン	新バージョン	修正方法
ip-address XSS	moderate	npm 11.11.1 内 bundled	10.2.0 (npm 11.16.0 内)	npm override
picomatch method-injection	moderate	4.0.3 (npm bundle 内)	4.0.4	npm override
brace-expansion ReDoS	GHSA-jxxr-4gwj-5jf2	5.0.5	5.0.6	npm audit fix

3件いずれも npm@11.16.0 への override 経由で解消が確認できる。npm audit 0件という事後検証も適切。

注意点（minor）: node_modules/test-exclude/node_modules/brace-expansion が 1.1.14、node_modules/glob/node_modules/brace-expansion が 2.1.0 のままだが、npm audit が 0 件を返しているため、これらはすでにパッチ済みバージョンの範囲内にある。特別な対処は不要。

Quality ✅

overrides アプローチの妥当性

// package.json
"overrides": {
  "tar": "^7.5.11",
  "handlebars": ">=4.7.9",
  "npm": "^11.16.0"   // ← 追加
}

semantic-release が推移的依存として引き込む npm@11.x を上書きする正しい手法
^11.16.0（キャレット）を使うことで v11.x 内の将来のパッチも自動適用される ✅
package-lock.json の npm が 11.11.1 → 11.16.0 に更新されており、override が正しく機能している ✅

Performance / Accessibility / AI Residuals

Performance: dev 依存のみ変更、実行時影響なし ✅
Accessibility: 対象外 ✅
AI Residuals: なし ✅

PR ガイドライン確認

項目	状態
diff ≤ 400行	✅ (+86/-167、package-lock.json 大部分)
ファイル数 ≤ 25	✅ (2ファイル)
テスト通過	✅ (jest 581 green)
Linked Issue	⚠️ PR本文にLinked Issueが明示されていない（dependabotアラートへの参照があると望ましい）

Linked Issue は minor 観点のみのため APPROVE に影響しない。

keito4 · 2026-06-05T06:00:39Z

(aside)
@claude PRがbaseにマージする際にCIが落ちています。
修正してください。

claude · 2026-06-05T06:00:55Z

Claude finished @keito4's task in 5m 59s —— View job

CI修正作業完了 ✅

コンテキスト収集
CI失敗内容の確認 → PR docs: ドキュメント最新化（ADR 0007追加・hooks README更新） #801（docs更新）マージ後に mergeStateStatus: BEHIND
失敗原因の分析 → ブランチが main より1コミット遅れていた（package.json/package-lock.json に競合なし）
mainをマージしてブランチ更新 → gh pr update-branch で完了（マージコミット 5727e3b）
CI全通過確認 ✅

対応内容

原因: PR #801（docs: ドキュメント最新化）が先にマージされたことで、このPRブランチが1コミット分 main より遅れた状態（BEHIND）になっていました。

修正: gh pr update-branch でmainをPRブランチにマージし、ブランチを最新状態に更新しました。

CI結果（更新後）

ワークフロー	結果
CI	✅ success
CI Fallback	✅ success
Security Scans	✅ success
Dependabot Auto-merge	✅ success

全チェック通過済み。PRはマージ可能な状態です。
| Branch: fix/deps-ip-address-picomatch

keito4 · 2026-06-05T09:00:43Z

(aside)
@claude PRがbaseにマージする際にCIが落ちています。
修正してください。

claude · 2026-06-05T09:00:57Z

Claude finished @keito4's task in 4m 59s —— View job

CI状況確認完了 ✅

コンテキスト収集
CI失敗内容の確認
失敗原因の分析
CI通過確認

調査結果

現在のCIステータス: 全チェック通過 ✅

チェック	ワークフロー	結果
Detect Changes	CI	✅ SUCCESS
Lint & Format	CI	✅ SUCCESS
Unit Tests	CI	✅ SUCCESS
Integration Tests	CI	✅ SUCCESS
Quality Gate	CI	✅ SUCCESS
PR Size Check	CI	✅ SUCCESS
Quality Gate	CI Fallback	✅ SUCCESS
Secret Detection (Gitleaks)	Security Scans	✅ SUCCESS
Dependency Review	Security Scans	✅ SUCCESS
NPM Audit	Security Scans	✅ SUCCESS
License Compliance	Security Scans	✅ SUCCESS
GitGuardian Security Checks	—	✅ SUCCESS

ブランチ状態: mainと完全に同期済み（遅れなし）

ローカル検証:

npm test: 343テスト全通過 ✅
npm run lint: エラーなし ✅
npm run format:check: フォーマット正常 ✅

残りブロック要因

⚠️ REVIEW_REQUIRED — ブランチ保護ルールにより、レビュアーの承認が1件必要です。

CIは全て通過しており、マージ可能な状態です。ただし、ブランチ保護ルールにより人間のレビュアーによる承認が必要です。
私（Claude）はPRを承認することができないため（セキュリティ制限）、@keito4 さんまたは別のレビュアーによる承認をお願いします。

前回の対応（06:00）でブランチの遅延は解消済みです。CI自体に問題はありません。
| Branch: fix/deps-ip-address-picomatch

keito4 · 2026-06-05T12:00:38Z

(aside)
@claude PRがbaseにマージする際にCIが落ちています。
修正してください。

claude · 2026-06-05T12:00:52Z

Claude finished @keito4's task in 5m 6s —— View job

CI状況確認完了 ✅

コンテキスト収集
現在のCI状態・ブランチ状態を確認
失敗原因を特定
ローカル検証（テスト・lint・フォーマット）実施

調査結果

現時点でCIは全て通過しています ✅

チェック	ワークフロー	結果
Detect Changes	CI	✅ SUCCESS
Lint & Format	CI	✅ SUCCESS
Unit Tests	CI	✅ SUCCESS
Integration Tests	CI	✅ SUCCESS
Quality Gate	CI	✅ SUCCESS
PR Size Check	CI	✅ SUCCESS
Quality Gate	CI Fallback	✅ SUCCESS
Secret Detection	Security Scans	✅ SUCCESS
Dependency Review	Security Scans	✅ SUCCESS
NPM Audit	Security Scans	✅ SUCCESS
License Compliance	Security Scans	✅ SUCCESS
GitGuardian	—	✅ SUCCESS
CodeRabbit	—	✅ SUCCESS

ブランチ状態: origin/main（HEAD: f36e1c9）に対して0コミットの遅れなし。完全同期済み。

ローカル検証:

npm test: 343テスト全通過 ✅
npm run lint: エラーなし ✅
npm run format:check: フォーマット正常 ✅

現在のブロック要因

mergeStateStatus: BLOCKED
mergeable: MERGEABLE

⚠️ REVIEW_REQUIRED — ブランチ保護ルールにより、人間のレビュアーによる承認が1件必要な状態です。

CIは全て通過しており、ブランチもmainと同期済みです。私（Claude）はPRを承認できないため（セキュリティ制限）、@keito4 さんまたは別のレビュアーによる承認をお願いします。

参考：過去の対応履歴

時刻	状況	対応
06:00	ブランチが `BEHIND`	`gh pr update-branch` でmainをマージ
09:00	CI全通過・ブランチ同期済み	修正不要（REVIEW_REQUIRED のみ）
12:00（現在）	CI全通過・ブランチ同期済み	修正不要（REVIEW_REQUIRED のみ）

現在は修正が必要なCI失敗はありません。
| Branch: fix/deps-ip-address-picomatch

keito4 · 2026-06-05T15:00:46Z

(aside)
@claude PRがbaseにマージする際にCIが落ちています。
修正してください。

claude · 2026-06-05T15:00:59Z

Claude finished @keito4's task in 6m 25s —— View job

CI調査結果 ✅

コンテキスト収集・現在のCI状態確認
ブランチ状態確認（mainとの差分）
失敗原因の特定
修正実施（不要・後述）

調査結果：CI は全て通過しています ✅

全てのチェックを確認しました。CI失敗はありません。

チェック	結果
Detect Changes	✅ SUCCESS
Lint & Format	✅ SUCCESS
Unit Tests	✅ SUCCESS
Integration Tests	✅ SUCCESS
Quality Gate (CI)	✅ SUCCESS
Quality Gate (Fallback)	✅ SUCCESS
PR Size Check	✅ SUCCESS
Secret Detection (Gitleaks)	✅ SUCCESS
Dependency Review	✅ SUCCESS
NPM Audit	✅ SUCCESS
License Compliance	✅ SUCCESS
GitGuardian	✅ SUCCESS
CodeRabbit	✅ SUCCESS
dependabot-auto	✅ SUCCESS

ブランチ状態: origin/main（HEAD: f36e1c9）と完全同期済み。遅れなし。

マージがブロックされている実際の理由

mergeStateStatus: BLOCKED
mergeable: MERGEABLE
理由: REVIEW_REQUIRED

⚠️ ブランチ保護ルールにより、人間のレビュアーによる承認が1件必要です。

CI失敗ではなく、レビュー承認待ちがブロック原因です。私（Claude）はPRを承認できないため（セキュリティ制限）、@keito4 さん本人またはレビュアーによる承認をお願いします。

詳細は FAQ をご参照ください。

参考：別件の scheduled-maintenance 失敗（2026-06-01）

scheduled-maintenance.yml が6/1に失敗しています（このPRの CI とは無関係）。

原因: CLAUDE_PR_GITHUB_TOKEN シークレットが未設定

CLAUDE_PR_GITHUB_TOKEN is required for scheduled maintenance because it may update workflow files.

このワークフローを正常に動作させるには、リポジトリの Secrets に CLAUDE_PR_GITHUB_TOKEN を設定する必要があります（Settings → Secrets and variables → Actions）。
| Branch: fix/deps-ip-address-picomatch

keito4 · 2026-06-05T21:00:41Z

(aside)
@claude PRがbaseにマージする際にCIが落ちています。
修正してください。

claude · 2026-06-05T21:00:54Z

CI修正作業

コンテキスト収集
CI失敗内容を詳細確認（全ワークフロー調査）
ローカルでテスト・lint・format実行確認
必須ステータスチェックを特定（Quality Gate のみ）
CIを再トリガー（GitHub Contents API経由でpackage.json更新）
全CI通過確認

調査・修正内容

必須ステータスチェック

ブランチ保護の調査結果: 必須チェックは Quality Gate のみ（enforcement: non_admins）

問題の経緯

最初の調査: CI全チェック通過 ✅（SHA 5727e3b、06:05 UTC）
空コミットをプッシュ → git pushではGitHub Actionsがトリガーされなかった ⚠️
SHA 856b932 では Quality Gate が未実行 → 必須チェック欠落
GitHub Contents API経由でpackage.jsonを更新 → CI正常にトリガー ✅

現在のCIステータス（SHA `fd277c7`）

ワークフロー	結果
CI Fallback	✅ completed success
Dependabot Auto-merge	✅ completed success
Security Scans	🔄 in_progress
CI	⏳ queued

CIが進行中です。完了後に全チェック結果を更新します...

View job run | Branch: fix/deps-ip-address-picomatch

Co-authored-by: keito4 <keito4@users.noreply.github.com>

github-actions · 2026-06-05T23:50:23Z

🎉 This PR is included in version 1.115.1 🎉

The release is available on GitHub release

Your semantic-release bot 📦🚀

keito4 self-assigned this Jun 5, 2026

Merge branch 'main' into fix/deps-ip-address-picomatch

5727e3b

github-actions Bot and others added 2 commits June 5, 2026 21:09

ci: CIを再トリガーして最新状態を確認

856b932

Co-authored-by: keito4 <keito4@users.noreply.github.com>

ci: Quality Gateを再実行するためpackage.jsonを更新

fd277c7

keito4 merged commit dfefa8f into main Jun 5, 2026
16 checks passed

keito4 deleted the fix/deps-ip-address-picomatch branch June 5, 2026 23:31

github-actions Bot added the released リリース済み label Jun 5, 2026

Conversation

keito4 commented Jun 5, 2026 • edited by coderabbitai Bot Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

Why

What

結果

Risk

Summary by CodeRabbit

Uh oh!

coderabbitai Bot commented Jun 5, 2026 • edited Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

Walkthrough

Changes

Estimated code review effort

Possibly related issues

Possibly related PRs

Suggested labels

Poem

Uh oh!

claude Bot commented Jun 5, 2026 • edited Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

コードレビュー

総評

Security ✅

Quality ✅

Performance / Accessibility / AI Residuals

PR ガイドライン確認

Uh oh!

keito4 commented Jun 5, 2026

Uh oh!

claude Bot commented Jun 5, 2026 • edited Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

CI修正作業完了 ✅

対応内容

CI結果（更新後）

Uh oh!

keito4 commented Jun 5, 2026

Uh oh!

claude Bot commented Jun 5, 2026 • edited Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

CI状況確認完了 ✅

調査結果

残りブロック要因

Uh oh!

keito4 commented Jun 5, 2026

Uh oh!

claude Bot commented Jun 5, 2026 • edited Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

CI状況確認完了 ✅

調査結果

現在のブロック要因

参考：過去の対応履歴

Uh oh!

keito4 commented Jun 5, 2026

Uh oh!

claude Bot commented Jun 5, 2026 • edited Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

CI調査結果 ✅

調査結果：CI は全て通過しています ✅

マージがブロックされている実際の理由

参考：別件の scheduled-maintenance 失敗（2026-06-01）

Uh oh!

keito4 commented Jun 5, 2026

Uh oh!

claude Bot commented Jun 5, 2026 • edited Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

CI修正作業

調査・修正内容

必須ステータスチェック

問題の経緯

現在のCIステータス（SHA fd277c7）

Uh oh!

Uh oh!

github-actions Bot commented Jun 5, 2026

Uh oh!

Reviewers

Assignees

Labels

Projects

Milestone

keito4 commented Jun 5, 2026 •

edited by coderabbitai Bot

Loading

coderabbitai Bot commented Jun 5, 2026 •

edited

Loading

claude Bot commented Jun 5, 2026 •

edited

Loading

claude Bot commented Jun 5, 2026 •

edited

Loading

claude Bot commented Jun 5, 2026 •

edited

Loading

claude Bot commented Jun 5, 2026 •

edited

Loading

claude Bot commented Jun 5, 2026 •

edited

Loading

claude Bot commented Jun 5, 2026 •

edited

Loading

現在のCIステータス（SHA `fd277c7`）