Security Audit: Moderate Vulnerabilities (prod)

[github-actions]

Security Audit Report

Generated: 2026-08-03 10:22 UTC

Summary

Scope	Moderate	High	Critical	Total
Production	4	0	1	0
All (incl. dev)	4	3	1	0

✅ No vulnerabilities found.

---

Run pnpm run security:fix to attempt automated remediation.

[aretw0]

Contexto: estes 3 moderates são a migração astro 7.1 dos apps (deferida de propósito)

Todos os 3 moderates (+1 low) são do astro, e vivem só nos apps apps/{me,dev,site} — que estão HELD (nunca publicados). Ficam abaixo do gate "high" (blocking), por isso esta issue é não-bloqueante.

Por que não foram corrigidos junto com os 6 high (issue #54, fechada em 5b522332): o advisory do astro diz "patched >=7.0.10", mas 7.0.10 não existe — a linha vai 7.0.9 → 7.1.0 (latest 7.1.3). Então o fix é um bump MINOR 7.0 → 7.1, não um patch. E esse bump quebra o build dos apps (verificado empiricamente):

• astro 7.0.3 → turbo build --filter='./apps/*' 78/78 ✅
• astro 7.1.3 → ❌ o Rolldown-Vite do astro 7.1 rejeita um re-export cross-package: Missing export buildJsonSuccessEnvelope from @refarm.dev/capabilities/envelope (o símbolo É exportado no source — é a resolução mais estrita do bundler novo sobre o subpath export do pacote de workspace).

Portanto isto é uma tarefa de migração de código (adequar a exposição de @refarm.dev/capabilities/envelope ao rolldown do astro 7.1), não um override de dependência. Rastreado em docs/2026-07-25-v0.1.0-release-readiness.md (seção de segurança). Quando a migração acontecer e os moderates zerarem, o workflow fecha esta issue automaticamente.

[aretw0]

Investigação da migração astro 7.1 — é um bug SISTÊMICO do bundler, não config

Ataquei a migração (bump p/ astro 7.1.x, que patcha estes moderates) e cheguei à causa-raiz, documentada em docs/superpowers/specs/2026-07-25-astro-7.1-migration-blocked-by-rolldown-subpath-resolution.md.

Causa-raiz (verificada, não chute): o astro 7.1 usa Rolldown-Vite (rolldown 1.0.3), que resolve subpath exports de pacotes do workspace (@refarm.dev/*/x) para o .d.ts do pacote, não o .js. Um .d.ts é export declare function … (sem valor de runtime) → MISSING_EXPORT. O export MAIN (.) resolve certo; só os subpaths quebram.

Evidências:

• Apps buildam em 7.0.3, quebram em 7.1.3 (nada mais mudou).
• O exports é honrado (apontar ./envelope p/ index.js move o erro p/ index.js) — não é staleness nem arquivo faltando; dist/envelope.js existe e exporta.
• Ordem de condição e a condição types não são o gatilho (testei reordenar e remover types — não muda).
• Sistêmico: o alias escape-hatch do repo corrigiu capabilities/envelope, e o build quebrou no próximo — cli/chat-repl. Os apps consomem dezenas de subpaths (@refarm.dev/cli/* sozinho ~25).

Decisão: ficar em astro 7.0.3 (apps buildam 78/78; estes advisories são moderate/low, em apps HELD, abaixo do gate "high"). Aliasar cada subpath seriam ~30 entradas frágeis — piora o projeto.

Caminhos p/ o esforço dedicado (no spec): (1) rastrear fix upstream do rolldown — 7.1.3 é o latest, então re-testar a cada bump; a migração pode virar um bump trivial quando corrigido; (2) um fix central de resolução dirigido por regra (não lista enumerada); (3) reestruturar exports (mas as evidências mostram que o map é honrado, então validar com repro mínimo antes). Todos os experimentos foram revertidos.