fix: npm 脆弱性 alert へ対応する

[k163377]

背景

Dependabot の npm alert 8 件（kotlin-js-store/yarn.lock 4 件・integration-test/kotlin-js-store/yarn.lock 4 件）はすべて mocha@11.7.5 の推移依存によるもの。lockfile のルートは mocha / source-map-support / kotlin-web-helpers の 3 つのみで、mocha は JS/wasm のテストランナーとしてのみ使われる。

配布物には入らない（runtime-api の生成 package.json は依存ゼロ、公開先は Maven Central のみで npm 公開は無い）。処理する入力も CI 内の自リポジトリのテスト成果物に限られる。

package	sev	現在	修正版	mocha の宣言レンジ	レンジ内の修正版
brace-expansion	high	2.1.2	2.1.3	^2.0.2（minimatch / glob 経由）	あり
serialize-javascript	high / medium	6.0.2	7.0.3 / 7.0.5	^6.0.2	6.x に無し
diff	low	7.0.0	8.0.3	^7.0.0	7.x は 7.0.0 のみ

mocha は最新の 11.7.6 でも diff@^7.0.0 / serialize-javascript@^6.0.2 のままで、上流に修正版が無い。

変更

1. lockfile の再生成（fix:）

両ビルドで kotlinUpgradeYarnLock を実行し、宣言レンジ内で修正版へ到達する brace-expansion を 2.1.4 へ上げる。差分は 2 ファイル各 6 行。

• brace-expansion 2.1.2 → 2.1.4
• js-yaml 4.3.0 → 4.3.1（再解決に伴う随伴。脆弱性とは無関係）

2. 判定基準の明文化（ci:）

.github/dependabot.yml へ、npm を version updates 対象に含めない理由（lockfile が KGP の生成物で、更新 PR が次の kotlinUpgradeYarnLock で失われる）と、alert の 2 段判定を置く。

レンジ内に修正版が無い serialize-javascript / diff は resolutions による major 跨ぎの強制上書きでしか直せず、上流が検証していない組み合わせをテストランナーへ注入することになるため採らない。該当 6 件は tolerable_risk として dismiss 済み。

確認

jsNodeTest / wasmJsNodeTest / wasmWasiNodeTest を --rerun で実行し、mpp-producer・mpp-consumer とも failures 0 / errors 0。

kotlinStoreYarnLock（lockfile 一致検査）も通過する。

マージ後

brace-expansion の 2 件（#4 / #8）は再スキャンで自動クローズされる想定。

settings.gradle.kts 側の 8 件（jackson / opentelemetry）は Gradle プラグインクラスパス由来で、本 PR のスコープ外。

🤖 Generated with Claude Code