chore: remediate postcss and ws CVEs

[Kirrrusha]

Коммит готов: 4be2eaf — chore: remediate postcss and ws CVEs.

На ветке sec-scan сейчас два security-коммита (плюс предыдущая работа по audit). Ниже текст для MR.

---

Summary

Закрываем Dependabot-алерты по транзитивным и прямым зависимостям, которые Dependabot не мог обновить автоматически (security_update_not_possible).

Пакет	Было	Стало	Как	Severity
@babel/plugin-transform-modules-systemjs	7.29.0	7.29.4	pnpm.overrides	High
fast-uri	3.1.0	3.1.2	pnpm.overrides	High
postcss	8.5.6	8.5.10	pnpm.overrides	Moderate
ws	8.20.0	8.20.1	devDependencies	Moderate

Добавлен .github/dependabot.yml — еженедельные PR с обновлениями npm.

---

Что делают уязвимости

@babel/plugin-transform-modules-systemjs (High)

При компиляции специально подготовленного JS уязвимая версия Babel может сгенерировать выходной код с выполнением произвольного кода на машине, где идёт сборка (CI / dev). Риск выше, если в пайплайн попадает недоверенный исходник.

fast-uri (High)

Ошибки парсинга URI (%2F, %2E, percent-encoded authority) позволяют обойти path/host-based политики — приложение может по-разному интерпретировать URL и принять «опасный» адрес за безопасный.

postcss (Moderate)

При сериализации CSS в строку не экранировался </style>. Если CSS формируется из недоверенных данных и вставляется в HTML внутри <style>, возможен XSS — выход из блока стилей и инъекция HTML/скрипта.

ws (Moderate)

В websocket.close() при передаче TypedArray как reason библиотека могла утечь неинициализированную память процесса удалённому клиенту (information disclosure). У нас ws используется в dev (reload-сервер, jsdom в тестах) — риск для прод-пользователей минимален, патч всё равно нужен.

---

Test plan

• pnpm install --frozen-lockfile
• pnpm test:unit
• pnpm build
• После merge: проверить закрытие алертов Dependabot (chore(deps): update softprops/action-gh-release action to v2 #106, fix(deps): update dependency pino to v10 #107, feat: send cookies #108, feat show badge count based on headers applied to current page When U… #109 и fast-uri)
• В GitHub Settings включены Dependabot alerts и Dependabot security updates для автоматических CVE-PR в будущем

---

Примечание: ветка sec-scan расходится с origin/sec-scan (локально 2 коммита, на remote 1). Перед push может понадобиться git pull --rebase origin sec-scan или force-push — как принято у вас в команде.

[github-actions]

🤖 Pull request artifacts

file	commit
pr129-cloudhood-chrome-e6c989c.zip	e6c989c
pr129-cloudhood-firefox-e6c989c.zip	e6c989c
pr129-cloudhood-firefox-sources-e6c989c.zip	e6c989c