fix(deps): nanoid の high 脆弱性 (GHSA-2v37-7h3g-55p8) を override で塞ぐ — dependabot の自動更新が失敗し続けている

[shinyaoguri]

P3 の作業中に、dependabot の security update が失敗し続けていることに気づいたので起票する (本題とは無関係)。

現象

Dependabot Updates ワークフローの npm_and_yarn in /. for nanoid が失敗する。少なくとも 2 回連続 (31562747532 / 31900302356)。

dependabot 自身がログで原因と対処を書いている:

To resolve this, update postcss to a release that depends on a non-vulnerable nanoid, or add an override/resolution pinning nanoid to a non-vulnerable version.

つまり dependabot には直せない (nanoid は直接依存ではなく、上流の postcss が古い nanoid を要求しているため) ので、毎回エラーで終わっている。

脆弱性

項目	値
GHSA	GHSA-2v37-7h3g-55p8
severity	high
概要	nanoid: custom generators can loop indefinitely when size is zero
影響範囲	< 3.3.18
初回修正版	3.3.18

依存経路

typedcode@1.1.0
`-- @typedcode/editor@1.0.0
  `-- vite@8.1.3
    `-- postcss@8.5.16
      `-- nanoid@3.3.15

ビルドツールチェーン (vite → postcss) 経由の devDependency なので、本番バンドルには入らない。実行時の攻撃面ではなく、ビルド環境の問題。

対応案

このリポジトリは既に overrides で同種の問題を処理している (root package.json):

"overrides": {
  "vite": "^8.0.5",
  "dompurify": "^3.4.5",
  "ws": "^8.20.1",
  "uuid": "^11.1.1",
  "undici": "^7.29.0"
}

直近の #259 (undici を override で 7.29.0 に上げ、dead な rollup override を外す) がまさに同じパターン。ここに 1 行足すだけで済む:

"nanoid": "^3.3.18"

3.3.18 は公開済み (3.3.16 / 3.3.17 / 3.3.18 が入手可能)。postcss の要求は ^3.3.x なので semver 的に互換で、メジャーを跨がない。

あわせて #259 の方針に倣い、既に不要になった override が無いかも点検したい (override は放置すると dead になって実態と乖離する)。

関連

• もう 1 件の open alert (dompurify / medium / IN_PLACE hook removal) は PR #260 が 3.4.12 → 3.4.13 で対応中
• fix(deps): undici を override で 7.29.0 に上げ、dead な rollup override を外す #259 — 同じ override パターンの前例

[shinyaoguri]

トリアージ (2026-08-23, HEAD b3d0116)

全 open Issue の事実確認・ドリフト検査の一環。lock / package.json は変更せず、npm view / npm explain / dry-run と dependabot のログで確認した。

事実確認

本文の主張	判定	現行の根拠
dependabot の security update が失敗し続けている	✅ 現存	run 31562747532 (08-12) / 31900302356 (08-15) とも failure。以降 nanoid の run は無い。ログ: VulnerabilityAuditor: audit result not viable: fix_unavailable / The latest possible version that can be installed is 3.3.16 because of the following conflicting dependency: postcss: requires nanoid@^3.3.16 / The earliest fixed version is 3.3.18
依存経路 vite@8.1.3 → postcss@8.5.16 → nanoid@3.3.15	⚠️ stale	現行 lock は vite@8.2.0 → postcss@8.5.25 → nanoid@3.3.16 (package-lock.json:3004-3005, :3118-3119, :3486-3487。#205 / #209 で 08-02 に上がっていた)。結論 (override で解ける・postcss が ^3.3.x を要求) は変わらない
3.3.18 は公開済み	✅	npm view nanoid versions の 3.x 末尾は 3.3.16 / 3.3.17 / 3.3.18 (3.3.18 は 08-07 公開、dist-tag legacy)
postcss の要求は ^3.3.x で semver 互換	✅	postcss@8.5.25 (現在) → ^3.3.16、postcss@latest (8.5.26) → ^3.3.17。^3.3.18 ⊆ ^3.3.16 で major 跨ぎ無し。dependabot の第一案「postcss を非脆弱 nanoid 要求版へ」は現時点では不可能 (最新 8.5.26 でも 3.3.17 を許す)
本番バンドルには入らない	✅ (注記あり)	nanoid を参照するのは postcss/lib/input.js:3,80 の nanoid(6) 固定長のみ。脆弱性は「size 0 で custom generator が無限ループ」なのでこの利用形態では到達不能。ただし lock 上 node_modules/nanoid に dev: true が付かない (vite が editor の runtime dep vite-plugin-wasm の peer のため) ので、GitHub alert #58 の scope は runtime と表示される
不要な override の点検	➕ dead が 1 つ実在	lock 全エントリの要求範囲 × 解決版で点検: uuid ^11.1.1 は依存元 0 件・lock にエントリ 0 件 (唯一の依存元 vite-plugin-top-level-await を #256 で外した時点で消えた。#259 は同じ原因で dead になった rollup だけ外し uuid を見落とし)。dompurify (monaco-editor@0.56.0 が 3.4.8 を exact 指定) と undici (miniflare が 7.28.0 exact) は live。vite / ws は現時点では冗長 (override 無しでも同じ版に解決) だが floor としては無害

本文に無い事実

• override 無しで塞げる経路がある: npm update postcss --dry-run は postcss 8.5.25→8.5.26 と nanoid 3.3.16→3.3.18 の 2 つだけを動かす (lock のみ・package.json 無変更)。npm audit fix --dry-run と npm update nanoid --dry-run は no-op (npm 11 の update <name> は transitive に効かない)
• PR ci(deps): bump dompurify from 3.4.12 to 3.4.13 #260 (dompurify) は 08-22 の @dependabot recreate 後、check / test / e2e / label / pr-title 全 pass でマージ可能 (lock は dompurify 3.4.14 に解決)。npm audit の moderate 2 件 (dompurify ≤3.4.12 と、それを 3.4.8 で pin する monaco-editor) はこれで消える

ドリフト (起票 2026-08-15 → 現在)

状況は不変 (alert #58 open、lock は 3.3.16 のまま、dependabot は再試行していない)。本文の依存経路のみ起票時点で既に stale。

判定

• 状態: 現存
• 深刻度: ラベル無し (pkg:repo のみ)。実害は無し (build 時のみ・到達不能)。衛生は中 (high alert が open のまま、dependabot の security update が毎回 failure、npm audit が赤)。**「low だが即やる」**が妥当。本文に「このリポでは到達不能」を一言足すと読者が慌てない
• 優先度: P3 (数行。ci(deps): bump dompurify from 3.4.12 to 3.4.13 #260 マージの直後に)
• 規模: 案 B なら lock 6 行 + root package.json −1 行 (uuid)。確認は npm ci → npm audit (0 件になるはず) → npm run build → unit。e2e は不要 (nanoid は wrangler / miniflare 経路に無い)

依存・関連

• PR ci(deps): bump dompurify from 3.4.12 to 3.4.13 #260 を先にマージ (両方 package-lock.json を触る)
• chore: 鮮度チェックの検知結果 (自動) #261 で見つかった dead な stub devDep 2 件 (@types/diff / @types/jszip — 型を 1 つも提供せず npm ci のたびに deprecated 警告を出す) も package.json / lock を触るので、同じ「依存の衛生」PR に同乗させると lock 衝突が 1 回で済む
• fix(deps): undici を override で 7.29.0 に上げ、dead な rollup override を外す #259 の続き (dead override の掃除 = uuid)

判断が要る点

• A (override "nanoid": "^3.3.18") か B (lock のみ npm update postcss) か。A は fix(deps): undici を override で 7.29.0 に上げ、dead な rollup override を外す #259 の前例に沿い floor を明示できるが、入れた日から「範囲が既に許す」冗長 override になり、将来どれかの依存が nanoid 5/6 系を要求したとき 3.3.18 を強制して壊す。B は最小・保守物ゼロ。推奨: B + uuid 削除。Issue のタイトル / 本文は「lock のみで塞ぐ」に改めて PR に記す
• vite / ws override の冗長分を外すか: 推奨は今回は触らず「冗長だが floor として残す」と記録して次回点検の対象にする

---

_{🤖 Assisted by Claude Code}

[shinyaoguri]

関連: dependabot PR (#287 / #289 / #288) をマージした際に、同型の失敗がもう 1 件あることを確認したので #307 に起票した (sharp / high / GHSA-rgj7-g3m4-5g8c)。

原因の形はこの Issue と同じ「上流が脆弱版を要求していて dependabot 単独では解けない」だが、miniflare が sharp を exact 0.35.2 で pin している点が違い、本 Issue のトリアージが推奨する案 B (lock のみ更新) では解けず override が唯一の手段になる。

どちらも root の package.json / package-lock.json を触るので、本 Issue のトリアージが述べているとおり 1 本の「依存の衛生」PR にまとめるのが良い (nanoid + sharp + dead override uuid の掃除 + #261 の dead stub devDep)。

なお #288 で wrangler を 4.115.0 → 4.127.1 に上げたが、miniflare 側の sharp pin は最新 (5.20260908.0-alpha) でも 0.35.2 のままで、alert は open のまま残っている。

---

_{🤖 Assisted by Claude Code}

[shinyaoguri]

解消済みのため close する (2026-09-10, HEAD 93740bb)

#307 の対応で依存の現況を洗い直したところ、この Issue が追っていた nanoid の件は既に解消していた。

根拠

項目	現況
alert #58 (GHSA-2v37-7h3g-55p8)	fixed (fixed_at = 2026-09-09)
npm audit	nanoid は 1 件も出ない (残っていた high 3 件はすべて sharp 由来で、#307 / #308 で対応)
lock の解決版	vite@8.2.2 → postcss@8.5.26 が nanoid@^3.3.17 を要求し、nanoid@3.3.18 に解決

トリアージで判断待ちとしていた A (override) か B (lock のみ) かは、#288 (dev deps 一括更新) で vite → postcss が上がった結果、案 B が事実上そのまま実現した形になった。推奨どおりの決着で、override を足さずに済んでいる。よってコード変更は不要。

宿題の引き取り

トリアージが挙げていた dead override uuid の掃除は #308 に取り込んだ (依存元は #256 で vite-plugin-top-level-await を外した時点で消えており、lock に要求元もエントリも無いことを再確認済み)。

残る override の点検結果もそちらのコミットメッセージに記録した。dompurify は live で必須 (monaco-editor@0.56.0 の exact 3.4.8 を上書きして 3.4.14 に載せている)、vite / ws / undici は現時点では冗長だが floor としては無害なので据え置き、という判断はこの Issue のトリアージの結論を踏襲している。

なお #261 の dead stub devDep (@types/diff / @types/jszip) の同乗は見送った。関心事が別 (型定義パッケージの整理) なので #261 側で扱う。

---

_{🤖 Assisted by Claude Code}