CI rot auf testing: npm audit findet High-Severity in browserslist #322

Befund

🔒 Security Audit (npm audit --audit-level=high) schlägt aktuell auf testing fehl (Run 34026266279, Job "🔒 Security Audit", 2026-09-06). Wie beim parallelen 1x1_Trainer-Fund erst jetzt sichtbar, weil PRs gegen testing bisher keine CI durchliefen (siehe Issue #318, Punkt 1 — der zugehörige Fix ist selbst Teil der jetzt fehlschlagenden Pushes).

Root Cause (verifiziert per Job-Log): npm audit meldet 23 Findings (22 moderate, 1 high):

• High: browserslist <=4.28.6 — "Unbounded memory growth" (GHSA-c83g-rgw3-j3cx) — Fix verfügbar via npm audit fix, keine Breaking Changes.
• Moderate: @xmldom/xmldom (via plist) — Fix ebenfalls via npm audit fix ohne Breaking Changes.
• Moderate: decode-uri-component/uuid (via expo-router/xcode/@expo/*-Kette) — Fix nur via npm audit fix --force mit Breaking Changes (expo-router/expo-sharing-Downgrade/-Upgrade). Betrifft nur den High-Severity-Grenzwert nicht, da beide moderate sind.

Lösungsvorschlag

npm audit fix (ohne --force) ausführen — behebt laut Log sowohl browserslist (das einzige High-Finding, das den CI-Check blockiert) als auch @xmldom/xmldom, beides ohne Breaking Changes. Die verbleibenden moderate Findings (decode-uri-component/uuid über die Expo-Toolchain) bewusst offen lassen bzw. separat bewerten, analog zur bereits in CLAUDE.md dokumentierten Praxis für ähnliche transitive Expo-Findings — sie blockieren --audit-level=high nicht.

Nicht-Ziel

Kein Fix jetzt — wird später umgesetzt.

🤖 Generated with Claude Code

https://claude.ai/code/session_014H6qFAuiG83oC9ALFb9nDc