chore(deps): bump nanoid from 3.3.15 to 3.3.18 in /app

[dependabot]

Bumps nanoid from 3.3.15 to 3.3.18.

Release notes

Sourced from nanoid's releases.

3.3.18

• Fixed infinite loop on async for React Native (by @​OvergrowthBeards-JB).

3.3.17

• Fixed infinite loop on zero size.

3.3.16

• Fixed infinite loop on negative size (by @​greymoth-jp).

Changelog

Sourced from nanoid's changelog.

3.3.18

• Fixed infinite loop on async for React Native (by @​OvergrowthBeards-JB).

3.3.17

• Fixed infinite loop on zero size.

3.3.16

• Fixed infinite loop on negative size (by @​greymoth-jp).

Commits

• 9ad9805 Release 3.3.18 version
• 55e50a0 Update CI action
• e10f8d4 Update index.native.js (#606)
• 73d6716 Release 3.3.17 version
• f9d13f1 Sync 0 size behaviour with PostCSS 5
• 9760e11 Release 3.3.16 version
• e835c9b fix(non-secure): clamp negative size to prevent infinite loop (#601)
• 96dd086 Update CI action
• ba0bc3b Do not create latest release for v3
• See full diff in compare view

Dependabot will resolve any conflicts with this PR as long as you don't alter it yourself. You can also trigger a rebase manually by commenting @dependabot rebase.

---

Dependabot commands and options

You can trigger Dependabot actions by commenting on this PR:

• @dependabot rebase will rebase this PR
• @dependabot recreate will recreate this PR, overwriting any edits that have been made to it
• @dependabot show <dependency name> ignore conditions will show all of the ignore conditions of the specified dependency
• @dependabot ignore this major version will close this PR and stop Dependabot creating any more for this major version (unless you reopen the PR or upgrade to it yourself)
• @dependabot ignore this minor version will close this PR and stop Dependabot creating any more for this minor version (unless you reopen the PR or upgrade to it yourself)
• @dependabot ignore this dependency will close this PR and stop Dependabot creating any more for this dependency (unless you reopen the PR or upgrade to it yourself)
  You can disable automated security fix PRs for this repo from the Security Alerts page.

[guifav]

@dependabot review da Daisy — commit 1b74b96a

Resumo: Bump nanoid 3.3.15→3.3.18 em /app. CI vermelho no step "Verify third-party license inventory" do lint-test-build — o bump altera a árvore de deps sem regenerar docs/THIRD-PARTY-LICENSES.md (gate documentado deste repo desde 2026-07-13; mesma causa dos bloqueios de #70/#72/#73/#74/#75/#93).

Contexto considerado: diff do PR, checks do head, memory/talkwithdata.md (gate de inventário de licença) | Cross-project: nenhum | Notion: sem projeto correlacionado

Validacao local:

• install: n/a (review via CI + diff)
• tests: n/a
• lint: n/a
• tsc: n/a
• build: CI fail — step Verify third-party license inventory (demais jobs verdes: browser-e2e, docker-image-smoke, functions-generate-thumbnail)

Bloqueadores (P1):

• Inventário de licenças stale quebra o gate de CI. Regenerar no branch: cd app && node ../scripts/generate-third-party-licenses.mjs (ou caminho equivalente ao do script no repo), commitar docs/THIRD-PARTY-LICENSES.md atualizado e empurrar — dependabot não faz isso sozinho. Sem CI verde, não mergear (regra deste repo).

Veredito: bloqueado

[roger-guifav]

TL;DR

Atualização de segurança de uma biblioteca de geração de identificadores usada indiretamente no app (ela só existe na árvore por causa do postcss, na montagem do CSS). Corrige uma falha de loop infinito em geradores customizados. O risco do bump é baixo e typecheck e lint passam. Mas o PR não pode ser mergeado agora: o documento obrigatório do repo que lista as licenças das dependências ficou desatualizado e derruba a verificação automática. Falta regenerar esse documento no próprio branch.

Verdict: Ajustes necessários

(revisado no head SHA 1b74b96)

Parecer

Bump de patch do nanoid 3.3.15 para 3.3.18 no diretório app, somente no lockfile — dependência transitiva, puxada apenas pelo postcss; o código-fonte do app não importa nanoid diretamente. O valor é de segurança: a versão 3.3.18 corrige uma advisory pública de segurança: loop infinito quando um gerador customizado recebe tamanho zero. Como o consumo é indireto e em build-time, o risco de regressão é mínimo; typecheck e lint limpos no head. Fatos fora do diff: o repo exige inventário de licenças byte a byte e a fila de bumps está parada nesse gate; revisão anterior neste head apontou a mesma causa. Nota de sequenciamento: este PR e o bump de postcss mexem nas mesmas linhas do lockfile do app — mergear um obriga rebase do outro, em qualquer ordem. Pergunta de merge: mergearia depois do inventário regenerado e do CI verde.

Críticos (P0)

Nenhum.

Bloqueadores de correção (P1)

1. Inventário de licenças desatualizado derruba o job principal de CI. O passo de verificação do inventário falha com a mensagem de documento desatualizado, porque o lockfile mudou sem regenerar docs/THIRD-PARTY-LICENSES.md. Reproduzido localmente neste head; na mesma fila de bumps foi comprovado que regenerar o documento faz a verificação passar. Ação: rodar scripts/generate-third-party-licenses.mjs na raiz do branch do PR, commitar o documento atualizado e empurrar. Sem CI verde, não mergear.

Endereçar no PR (P2)

Nenhum.

Endereçar no PR (P3 / nits)

Nenhum.

Acoes que somente o humano pode fazer (ainda...)

• Regenerar o inventário de licenças no branch do PR; o bot de dependências não faz esse commit.
• Após mergear este ou o bump de postcss, pedir rebase do outro, pois os dois tocam a mesma entrada do lockfile.
• Decisão estrutural pendente: automatizar a regeneração no workflow ou aceitar intervenção manual em cada bump; sem isso, a fila de bumps do repo continua parada no mesmo gate.

Verificado

• Diff: somente app/package-lock.json (nanoid 3.3.15 para 3.3.18, três linhas do lockfile).
• CI neste head: lint-test-build falha no passo de verificação do inventário de licenças; browser-e2e, docker-image-smoke e functions-generate-thumbnail verdes.
• Local no head (worktree isolada): npm ci limpo; geração do client do Prisma ok; tsc --noEmit 0 erros; eslint com teto de zero avisos limpo; verificação de licenças reproduz a falha de documento desatualizado.
• Advisory pública lida: loop infinito com tamanho zero, corrigido em 3.3.18; consumidores do pacote no lockfile: apenas postcss.

---

Roger (Hermes KVM) - review v2 - 1b74b96