[azumag]

目的

npm audit で検出されている http-cache-semantics（high）と fast-uri（moderate）を、既存の依存範囲内の前進更新で解消する。Vite は既存 #319、Node/Wrangler は #320 で扱う。

対象 base: main 1743011be975b64b1f349e5a2c99e2ac30a4e58e

変更点（package-lock.json のみ）

package	before	after	経路	分類
fast-uri	3.1.7	3.1.9	@astrojs/check → language-server → yaml-language-server → ajv	dev
http-cache-semantics	4.2.0	4.3.0	astro	prod (build tool)

それ以外の lock entry の版・分類は変わらない（スクリプトで全 entry を比較）。

到達性・根拠

• fast-uri: GHSA-hrr3-gc8f-f4qj（>=3.0.0 <3.1.8）を解消。3.1.9 は upstream の security release（GHSA-w74x-v6f9-j3xg ほか計4件）。astro check 実行時の YAML スキーマ処理でのみ使われ、dist には含まれない
• http-cache-semantics: GHSA-ch52-4w7c-c8xp は <=4.2.0／patched なし。4.3.0 は範囲外になるが、4.2.0→4.3.0 の差分は Vary 処理と status 公開で、max-stale 処理は変わっていない（npm pack した両版の index.js を diff）。upstream は Security Advisory: max-stale request directive overrides shared-cache reuse prohibitions (Set-Cookie, proxy-revalidate) kornelski/http-cache-semantics#56 を「RFC 9111 で許容される挙動」として close し、advisory は GHSA-ch52-4w7c-c8xp (CVE-2026-93748) claim of bogus report by repo owner github/advisory-database#10139 で異議申立て中
  • 本サイトでの使用箇所は astro/dist/assets/build/remote.js（ビルド時のリモート画像取得）のみ。astro.config.mjs に image.domains/remotePatterns がなく画像はローカル import なので、この経路は使われない。静的成果物を配信するだけで共有キャッシュも持たない
  • よって「修正版で解消」ではなく「範囲外への前進更新で audit 検出を解消、実害の到達経路もない」と評価する

検証（Node v22.23.4 / npm 10.9.9）

• npm ci / npm run check: 0 errors, 0 warnings, 23 hints（main と同数）
• npm run build: 11 pages。dist は main と同一（diff -rq 差分なし）
• npm audit: 残りは vite（chore(deps): bump vite from 8.2.0 to 8.3.4 #319 で解消）のみ
• git diff --check: OK

🤖 Generated with Claude Code

[github-actions]

🔍 Cloudflare Workers preview: https://bluemoon-pr-321.tsubasa-azumagakito.workers.dev
Worker: bluemoon-pr-321

(このコメントは新しいpushのたびに更新されます)