Revisão manual de dependências — v1.11.0¶
Inventário inicial em 2026-08-10. Versões resolvidas foram diferenciadas dos ranges diretos. Os diffs dos PRs foram lidos apenas como referência; nenhuma branch ou commit Dependabot foi incorporado.
| PR | Dependência | Atual direto / resolvido | Proposta | Latest-safe avaliada | Classe | Risco | Valor | Decisão/manual change | Testes/resultados |
|---|---|---|---|---|---|---|---|---|---|
| #2 | actions/setup-node |
v4 | v7 | v7.0.0 | CI direta | médio | Node 24 | pin manual SHA v7.0.0 | workflow auditado |
| #3 | actions/configure-pages |
v5 | v6 | v6.0.0 | CI direta | baixo | runtime atual | pin manual SHA v6.0.0 | workflow auditado |
| #4 | actions/deploy-pages |
v4 | v5 | v5.0.0 | CI direta | baixo | runtime atual | pin manual SHA v5.0.0 | workflow auditado |
| #5 | actions/upload-artifact |
v4 | v7 | v7.0.1 | CI direta | médio | runtime atual | pin manual SHA v7.0.1 | workflow auditado |
| #6 | actions/setup-python |
v5 | v7 | v7.0.0 | CI direta | médio | Node 24 | pin manual SHA v7.0.0 | workflow auditado |
| #7 | Radix Toggle Group | ^1.1.11 / 1.1.13 |
1.1.19 | 1.1.19 | runtime direta | baixo | manutenção | npm para 1.1.19 | unit/typecheck/build verde |
| #8 | Radix Navigation Menu | ^1.2.14 / 1.2.16 |
1.2.22 | 1.2.22 | runtime direta | baixo | manutenção | npm para 1.2.22 | unit/typecheck/build verde |
| #9 | react-hook-form |
^7.71.2 / 7.80.0 |
7.83.0 | 7.85.0 | runtime direta | médio | hardening de property paths | npm para latest-safe 7.85.0 | unit/typecheck/build verde |
| #10 | Radix Separator | ^1.1.8 / 1.1.10 |
1.1.15 | 1.1.15 | runtime direta | baixo | manutenção | npm para 1.1.15 | unit/typecheck/build verde |
| #11 | Radix Switch | ^1.2.6 / 1.3.1 |
1.3.7 | 1.3.7 | runtime direta | baixo | manutenção | npm para 1.3.7 | unit/typecheck/build verde |
| #12 | Radix Checkbox | ^1.3.3 / 1.3.5 |
1.3.11 | 1.3.11 | runtime direta | baixo | manutenção | npm para 1.3.11 | unit/typecheck/build verde |
| #13 | Ruff | 0.16.0 | 0.16.1 | 0.16.1 | dev direta | baixo | bugfix/tooling | pin manual 0.16.1 | Ruff verde |
Ações adicionais encontradas¶
actions/checkout, actions/upload-pages-artifact e github/codeql-action não estão nos 12
PRs listados, mas precisam de runtime atual. A política escolhida é pin consistente por SHA
com comentário de versão, compatível com atualizações futuras do Dependabot.
nanoid¶
O caminho inicial era vite 8.0.16 -> postcss 8.5.23 -> nanoid 3.3.16. Vite 8.2.1 e PostCSS
8.5.26 agora resolvem nanoid 3.3.18, sem override. npm audit retorna zero vulnerabilidades.
Decisão dos PRs¶
Os 12 PRs serão fechados como superseded somente depois do push da main que contém estes commits. Nenhum foi mergeado, cherry-picked ou usado como fonte de código.