chore(deps): bump brace-expansion in /app

[dependabot]

Bumps and brace-expansion. These dependencies needed to be updated together.
Updates brace-expansion from 1.1.15 to 1.1.18

Commits

• 758fcd6 1.1.18
• 27fbeed Merge commit from fork
• 5c57cc2 1.1.17
• d757f1d npm ignore .claude
• cb4b9e4 fix: backport GHSA-mh99-v99m-4gvg (#129)
• 447763a 1.1.16
• d74e630 fix: v1 backport for CVE-2026-13149 (#122)
• See full diff in compare view

Updates brace-expansion from 2.1.1 to 2.1.4

Commits

• 758fcd6 1.1.18
• 27fbeed Merge commit from fork
• 5c57cc2 1.1.17
• d757f1d npm ignore .claude
• cb4b9e4 fix: backport GHSA-mh99-v99m-4gvg (#129)
• 447763a 1.1.16
• d74e630 fix: v1 backport for CVE-2026-13149 (#122)
• See full diff in compare view

Updates brace-expansion from 2.1.2 to 2.1.4

Commits

• 758fcd6 1.1.18
• 27fbeed Merge commit from fork
• 5c57cc2 1.1.17
• d757f1d npm ignore .claude
• cb4b9e4 fix: backport GHSA-mh99-v99m-4gvg (#129)
• 447763a 1.1.16
• d74e630 fix: v1 backport for CVE-2026-13149 (#122)
• See full diff in compare view

Updates brace-expansion from 5.0.7 to 5.0.9

Commits

• 758fcd6 1.1.18
• 27fbeed Merge commit from fork
• 5c57cc2 1.1.17
• d757f1d npm ignore .claude
• cb4b9e4 fix: backport GHSA-mh99-v99m-4gvg (#129)
• 447763a 1.1.16
• d74e630 fix: v1 backport for CVE-2026-13149 (#122)
• See full diff in compare view

Dependabot will resolve any conflicts with this PR as long as you don't alter it yourself. You can also trigger a rebase manually by commenting @dependabot rebase.

---

Dependabot commands and options

You can trigger Dependabot actions by commenting on this PR:

• @dependabot rebase will rebase this PR
• @dependabot recreate will recreate this PR, overwriting any edits that have been made to it
• @dependabot show <dependency name> ignore conditions will show all of the ignore conditions of the specified dependency
• @dependabot ignore this major version will close this PR and stop Dependabot creating any more for this major version (unless you reopen the PR or upgrade to it yourself)
• @dependabot ignore this minor version will close this PR and stop Dependabot creating any more for this minor version (unless you reopen the PR or upgrade to it yourself)
• @dependabot ignore this dependency will close this PR and stop Dependabot creating any more for this dependency (unless you reopen the PR or upgrade to it yourself)
  You can disable automated security fix PRs for this repo from the Security Alerts page.

[guifav]

@dependabot review da Daisy — commit 38e52e00

Resumo: Bump brace-expansion 5.0.7→5.0.9 em /app (drop de Node 18 no engines do transitive — repo já exige Node 20+). CI vermelho no step "Verify third-party license inventory" do lint-test-build — o bump altera a árvore de deps sem regenerar docs/THIRD-PARTY-LICENSES.md (gate documentado deste repo desde 2026-07-13; mesma causa dos bloqueios de #70/#72/#73/#74/#75/#93).

Contexto considerado: diff do PR, checks do head, memory/talkwithdata.md (gate de inventário de licença) | Cross-project: nenhum | Notion: sem projeto correlacionado

Validacao local:

• install: n/a (review via CI + diff)
• tests: n/a
• lint: n/a
• tsc: n/a
• build: CI fail — step Verify third-party license inventory (demais jobs verdes: browser-e2e, docker-image-smoke, functions-generate-thumbnail)

Bloqueadores (P1):

• Inventário de licenças stale quebra o gate de CI. Regenerar no branch: cd app && node ../scripts/generate-third-party-licenses.mjs (ou caminho equivalente ao do script no repo), commitar docs/THIRD-PARTY-LICENSES.md atualizado e empurrar — dependabot não faz isso sozinho. Sem CI verde, não mergear (regra deste repo).

Veredito: bloqueado

[roger-guifav]

TL;DR

Atualização de segurança de uma biblioteca pequena usada indiretamente no app (expansão de padrões de arquivos, via minimatch, em ferramentas de lint e build). Corrige uma falha que permitia derrubar o processo por consumo de memória. O risco do bump é baixo e typecheck e lint passam. Mas o PR não pode ser mergeado agora: o documento obrigatório do repo que lista as licenças das dependências ficou desatualizado e derruba a verificação automática. Falta regenerar esse documento no próprio branch.

Verdict: Ajustes necessários

(revisado no head SHA 38e52e0)

Parecer

Bump do brace-expansion no diretório app, somente no lockfile, cobrindo três instâncias transitivas de linhas diferentes: 5.0.7 para 5.0.9, 1.1.15 para 1.1.18 e 2.1.1 para 2.1.4 — todas via minimatch em ferramentas como eslint e rimraf; o código-fonte do app não importa o pacote. O valor é de segurança: corrige uma advisory pública de segurança (DoS), negação de serviço por expansão ilimitada que estoura memória; a correção adiciona teto de tamanho na saída acumulada. Consumo indireto e em tempo de ferramenta, risco de regressão mínimo; typecheck e lint limpos no head. Fatos fora do diff: o repo exige inventário de licenças byte a byte e a fila de bumps está parada nesse gate; revisão anterior neste head apontou a mesma causa. Pergunta de merge: bump de segurança com valor claro — mergearia depois do inventário regenerado e do CI verde.

Críticos (P0)

Nenhum.

Bloqueadores de correção (P1)

1. Inventário de licenças desatualizado derruba o job principal de CI. O passo de verificação do inventário falha com a mensagem de documento desatualizado, porque o lockfile mudou sem regenerar docs/THIRD-PARTY-LICENSES.md. Reproduzido localmente neste head; na mesma fila de bumps foi comprovado que regenerar o documento faz a verificação passar. Ação: rodar scripts/generate-third-party-licenses.mjs na raiz do branch do PR, commitar o documento atualizado e empurrar. Sem CI verde, não mergear.

Endereçar no PR (P2)

Nenhum.

Endereçar no PR (P3 / nits)

Nenhum.

Acoes que somente o humano pode fazer (ainda...)

• Regenerar o inventário de licenças no branch do PR; o bot de dependências não faz esse commit.
• Decisão estrutural pendente: automatizar a regeneração no workflow ou aceitar intervenção manual em cada bump; sem isso, a fila de bumps do repo continua parada no mesmo gate.

Verificado

• Diff: somente app/package-lock.json (brace-expansion 5.0.7 para 5.0.9 em três posições, 1.1.15 para 1.1.18, 2.1.1 para 2.1.4).
• CI neste head: lint-test-build falha no passo de verificação do inventário de licenças; browser-e2e, docker-image-smoke e functions-generate-thumbnail verdes.
• Local no head (worktree isolada): npm ci limpo; geração do client do Prisma ok; tsc --noEmit 0 erros; eslint com teto de zero avisos limpo; verificação de licenças reproduz a falha de documento desatualizado.
• Advisory pública lida: falha de DoS por expansão ilimitada, corrigida a partir das versões 2.1.3 e 5.0.8; todas as instâncias do lockfile saem de versões vulneráveis.

---

Roger (Hermes KVM) - review v2 - 38e52e0

[dependabot]

Superseded by #155.