Repository navigation
fix(deps): actualizaciones de seguridad dentro de la misma versión mayor - #94
Merged
Merged
Conversation
npm audit contaba 22 avisos, dos críticos, en dependencias que llegan a producción, y Dependabot llevaba parado desde agosto. - @astrojs/node 11.1.8: una cabecera Host malformada podía tumbar el servidor. - astro 7.4.0, socket.io/engine.io 4.8.4, undici 8.12.2, express 5.3.0 y transitivos (devalue, proxy-addr...) con npm audit fix sin --force. - biome 2.5.15 y vitest 4.1.12. Playwright se queda en 1.62.1 para no cambiar de navegadores. - Astro 7.4 deja pasar los POST sin Origin ni Sec-Fetch-Site, que no vienen de un navegador. El test de CSRF simula ahora el ataque real desde otro sitio, que sigue dando 403. - Quedan 6 avisos moderados sin arreglo real (drizzle-kit y typography); CLAUDE.md lo documenta. - vitest ignora .claude/ (los worktrees de las sesiones) y el test de copiar y pegar coloca el cursor con el teclado, que era lo que fallaba con la suite en paralelo. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
This was referenced Oct 18, 2026
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
Por qué
npm auditcontaba 22 avisos, 2 críticos, varios de ellos en dependencias que llegan a producción. Dependabot llevaba parado desde agosto: sus 4 PR (#83–#86) estaban desfasados, y los avisos más graves ni siquiera tenían PR.Qué cambia
@astrojs/nodeHostcon un puerto malformado podía tumbar el servidorastrosocket.io/engine.ioundici,expressundicigrave;proxy-addr(crítico) llega conexpressdevalue,fast-uri,js-yaml,sharp… connpm audit fixsin--force@biomejs/biome,vitestTodo se queda dentro de la misma versión mayor. Fuera de este PR:
vitest5,typescript7 y@types/better-sqlite39 (#84). Playwright se queda en 1.62.1 para no tener que descargar navegadores nuevos.Quedan 6 avisos moderados sin arreglo real: 4 en
drizzle-kity 2 en@tailwindcss/typography. En los dos casos npm propone retroceder de versión. El CLAUDE.md lo documenta, junto con que no se ejecutenpm audit fix --force.Un cambio de comportamiento de Astro 7.4
Astro 7.4 deja de rechazar los POST que no traen ni
OriginniSec-Fetch-Site. Son peticiones de clientes que no son un navegador, que no llevan las cookies de nadie, así que no son un vector de CSRF. Un POST hecho desde otro sitio con un navegador sigue recibiendo 403.oauth-linking.spec.tssimula ahora ese ataque real, y su test hermano hace de control (misma petición desde el propio dominio → 401).Otros
vitest.config.tsexcluye.claude/**: los worktrees de las sesiones viven dentro del repo y vitest corría también sus copias de los tests.Pruebas
npx vitest: 350/350.npx playwright test: 253/253, dos ejecuciones seguidas.astro check: 0 errores.biome check: limpio.npm audit: de 22 avisos (2 críticos) a 6 moderados sin arreglo real.🤖 Generated with Claude Code