fix: npm audit fix gegen High-Severity in browserslist

[S540d]

Befund

🔒 Security Audit (npm audit --audit-level=high) schlug auf testing fehl: browserslist <=4.28.6 — "Unbounded memory growth" (GHSA-c83g-rgw3-j3cx).

Änderung

npm audit fix (ohne --force) ausgeführt. Behebt:

• High: browserslist (das einzige den CI-Check blockierende Finding)
• Moderate: @xmldom/xmldom (0.8.13→0.8.15, 0.9.10→0.9.12, via plist)

Beides ohne Breaking Changes — nur package-lock.json geändert, package.json unverändert.

Verbleibende 21 moderate Findings (decode-uri-component/uuid über die Expo-Toolchain: xcode → @expo/config-plugins → @expo/cli → expo → @sentry/react-native) bleiben bewusst offen — nur via npm audit fix --force (Breaking, Downgrade auf ältere Expo-Version) behebbar und blockieren --audit-level=high nicht.

Test plan

• npm audit --audit-level=high → Exit 0 (vorher: 1 high finding)
• npm ci nach Lockfile-Update erfolgreich
• npm test → 453/453 Tests grün (49 Suites)
• Lint + TypeCheck + Prettier (Pre-Push-Hook) grün

Closes #322

---

🤖 Generated with Claude Code

https://claude.ai/code/session_01AS54CHuJc8Hm28KnyRqpz2

---

Generated by Claude Code

[github-actions]

🔀 Mergeability-Report

✅ Konfliktfrei mergebar (unstable).
✅ Ziel-Branch testing ist policy-konform.

CI-Checks: ✅ keine fehlgeschlagenen Checks

⏳ 🔧 Platform Compatibility
⏳ ⚙️ Workflow Linting / actionlint
⏳ 🔒 Security Audit
⏳ 🔑 Keystore & Credential Scan
⏳ mergeability / mergeability
⏳ 🔍 Code Quality & Linting
⏳ 🔐 Docs Privacy Check
⏳ Analyze (javascript-typescript)
⏳ Analyze (actions)

Merge-Checkliste

• CI-Checks grün
• Keine Merge-Konflikte
• Ziel-Branch korrekt
• (Optional) tiefes KI-Review via /review aus Claude Code (Pro-Abo, ohne API-Kosten)

---

Kostenlos generiert von reusable-mergeability.yml · keine API-Kosten · review-gate: success

[S540d]

🔍 Code Quality & Linting schlug fehl, aber nicht durch diesen PR: npx tsc --noEmit findet TS18048 in components/__tests__/GamePhaseComponents.test.tsx:239 ('hintBtn' is possibly 'undefined') — verifiziert, dass dieser Fehler bereits auf origin/testing selbst besteht, unabhängig von der hier gemachten package-lock.json-Änderung.

Fix als eigener PR #324 gegen testing erstellt und in diesen Branch gemerged (Commit 819168e), damit CI hier grün wird, ohne auf den Merge von #324 zu warten. npx tsc --noEmit, npm test (453/453) und Lint/Prettier laufen lokal grün.

---

Generated by Claude Code

[S540d]

CI durchgehend grün (25/25 Checks, inkl. 🔒 Security Audit, 🔍 Code Quality & Linting, CodeQL), keine Merge-Konflikte. Bereit zum Review/Merge.

---

Generated by Claude Code

[S540d]

PR #324 wurde gemerged — dessen Branch enthielt (durch das Portieren des Audit-Fixes zur Behebung von dessen eigenem Security-Audit-CI-Fail) am Ende beide Änderungen: den TS18048-Fix und den npm audit fix für browserslist. testing hat jetzt bereits browserslist@4.28.9, verifiziert per git diff origin/testing origin/claude/issue-322-i0ylam → leer.

Dieser PR ist damit redundant (Zero-Diff zu testing) und wird geschlossen. Issue #322 ist über #324 erledigt.

---

Generated by Claude Code