[april418]

概要

2026 年 10 月の Node.js セキュリティリリースに追従し、固定していた 24.14.1 を 24.22.1 へ更新する。

• アドバイザリ: https://nodejs.org/ja/blog/vulnerability/october-2026-security-releases
• 24.x 系の修正版: 24.22.1

修正される主な脆弱性 (HIGH)

CVE	内容
CVE-2026-111497	Brotli デコーダの境界外書き込みによるリモートコード実行
CVE-2026-105482	dns.resolve が NUL 文字を含む名前を切り詰める
CVE-2026-105483	全角数字で書かれた IP での TLS 証明書ホスト名検証バイパス
CVE-2026-106069	ホスト名が緩く IP へ解決される場合の TLS 証明書ホスト名検証バイパス

変更したファイル

• .nvmrc

含まれるコミット

• f848e613 chore(deps): Node.js を 24.22.1 に更新する

確認した点

• 24.14.1 の残存が 0 件 (lockfile を除く)
• 変更した YAML / JSON がパースできること
• lockfile を変更していないこと。lockfile 内の engines: {node: 24.14.1} は依存パッケージのメタデータで、ルートの engines は lockfile に記録されないため再生成は不要

ローカルで実行していないこと

手元の Node が 24.14.1 のため、engines を 24.22.1 に上げた状態では pnpm install が engine 不一致で通らない。build / lint / test はこの PR の CI の結果で確認する。

🤖 Generated with Claude Code

[april418]

Node のバージョン更新は upstream の prebid/Prebid.js 側で行われるため、この fork では対応しない。
upstream の追従で入るので、こちらを閉じる。

このブランチが fork に残ると upstream との乖離になる点も、閉じる理由に含まれる。
upstream の .nvmrc も 24.14.1 であり、fork の master と同値である。