fix(security): @tiptap 3.28.0 -> 3.31.3 (GHSA-j95f-988m-3j2f, unblocks nightly)

[WolfTasks]

Problem

Der Nightly Security Scan schlägt seit dem 2026-09-09 jede Nacht fehl (letzter grüner Lauf: 2026-09-08) — ohne dass sich am Repo etwas geändert hat (HEAD steht seit 2026-09-06 auf e2a8a9f).

Ursache ist kein Workflow-Defekt, sondern ein echter Fund:

Package: @tiptap/core
Installed Version: 3.28.0
Vulnerability GHSA-j95f-988m-3j2f
Severity: HIGH
Fixed Version: 3.30.5

Zwei quadratische ReDoS-Pfade in den Markdown-Attribut-Parsern von @tiptap/core. Das Advisory wurde am 2026-09-09 veröffentlicht — also genau der Fall, für den der Nightly existiert: neu offengelegte CVEs gegen unveränderte Dependencies.

Warum Dependabot das nicht selbst gefixt hat

Der Dependabot-Security-Job ist am 2026-09-09 ebenfalls fehlgeschlagen (Run 34309953621):

A patched version exists for @tiptap/core, but the available update path still resolves it to 3.28.0

@tiptap/core ist bei uns nur transitiv eingebunden, der Security-Job darf aber nur direkte Dependencies anfassen (allowed-updates: direct). Er kommt deshalb nicht an die Version heran.

Fix

Die vier direkten @tiptap/*-Pakete gemeinsam auf 3.31.3 gehoben, damit der Lockfile @tiptap/core auf 3.31.3 auflöst:

Paket	vorher	nachher
@tiptap/react	^3.27.3	^3.31.3
@tiptap/starter-kit	^3.27.3	^3.31.3
@tiptap/extension-link	^3.27.3	^3.31.3
@tiptap/extension-placeholder	^3.27.3	^3.31.3

Gotcha: ein einfaches npm install reicht hier nicht — npm bleibt mit ERESOLVE an der alten 3.28.0-Auflösung hängen, weil @tiptap/pm von den Peers exakt gepinnt wird und npm den Teilbaum aus dem Lockfile wiederverwendet. Der @tiptap-Teilbaum musste aus dem Lockfile entfernt und neu aufgelöst werden.

Der Diff bleibt dabei sauber begrenzt: nur die 29 @tiptap-Pakete + prosemirror-view, keine Pakete hinzugefügt oder entfernt.

Verifikation

Check	Ergebnis
trivy 0.70.0 fs --severity HIGH,CRITICAL	0 Vulnerabilities, exit 0 (vorher exit 1)
npm ci	sauber, Lockfile in sync
.github/scripts/audit-gate.mjs	✅ keine nicht-allowlisteten HIGH/CRITICAL
npm run build (tsc + vite)	✅ grün
npm run test:i18n	✅ 17/17
npm run lint:i18n	✅ Scanner 0 + en/de-Parität

Trivy-Report nach dem Fix:

┌────────────────────────────┬────────┬─────────────────┐
│           Target           │  Type  │ Vulnerabilities │
├────────────────────────────┼────────┼─────────────────┤
│ backend/gradle.lockfile    │ gradle │        0        │
│ frontend/package-lock.json │  npm   │        0        │
└────────────────────────────┴────────┴─────────────────┘

Risiko

@tiptap wird nur an einer Stelle verwendet: src/components/issue/RichTextEditor.tsx. Der Editor nutzt ausschließlich stabile Core-APIs (useEditor, StarterKit, Link/Placeholder.configure, chain-Commands, setContent/getHTML). Die verwundbaren Markdown-Specs (createBlockMarkdownSpec & Co.) werden nicht verwendet. Minor-Bump 3.28 → 3.31, tsc ist grün.

👉 Manueller Check empfohlen: Rich-Text-Editor im Issue-Detail (fett/kursiv/Code/Listen, Speichern beim Blur).

Hinweise

• Schließt die Nightly-Tracking-Issues Nightly security scan failed (2026-09-09) #129, Nightly security scan failed (2026-09-10) #130, Nightly security scan failed (2026-09-11) #131, Nightly security scan failed (2026-09-12) #132.
• Die älteren offenen Nightly-Issues Nightly security scan failed (2026-09-03) #119 / Nightly security scan failed (2026-09-04) #121 / Nightly security scan failed (2026-09-05) #122 (03.–05.09.) stammen noch aus der tomcat/openssl/nanoid- bzw. react-router-Runde und sind laut aktuellem Trivy-Lauf erledigt — können separat geschlossen werden.
• Überschneidet sich inhaltlich mit dem offenen Dependabot-Gruppen-PR build(deps): bump the frontend-deps group across 1 directory with 27 updates #127 (bumpt u.a. tiptap auf 3.30.6 unter 27 weiteren Paketen). Dieser PR ist die gezielte Variante; build(deps): bump the frontend-deps group across 1 directory with 27 updates #127 wird nach dem Merge einen Rebase brauchen.

Fixes #129
Fixes #130
Fixes #131
Fixes #132

🤖 Generated with Claude Code

https://claude.ai/code/session_01UwUAJZAuHC2S7rkaEm9dgf