WEB board

[GATE-11] Vuln-скан зависимостей и ОС + расписка (manifest-часть уже сильная)

Manifest/native-verify есть (step4-rehearsal 9/9, verify-standalone-arm64). ОСТАЛОСЬ: pnpm audit (или osv-scanner) на lockfile прод-линии + запись результата с триажем исключений; OS-скан A1 (dpkg + debsecan/trivy); переснять на финальном production candidate. Расписка в тикет, не «предлагаем запускать» как в SBOM-доке.

Эпик: WEB-282. Норматив: PROD-MIGRATION-PLAN-R4.md §7. Аудит-срез: M4 MIGAUDIT-REPORT.md (20.08). Owner 20.08: «по гейтам дожимайте все до конца».

## 20.08 ~23:55 СКАН ВЫПОЛНЕН (волна gatespack): 7 critical / 83 high. Ключевое: form-data 2.3.3 CRITICAL (fix >=2.5.4, тянется через node-telegram-bot-api), fast-xml-parser 5.3.2 HIGH (fix >=5.3.4, прямая prod-зависимость), xlsx 0.18.5 HIGH БЕЗ фикс-версии (решать: заменить/изолировать), часть в dev-only (eslint-цепочки). Полная таблица с путями: M4 /Users/milamarty/work/GATE11-VULN-SCAN.md. Дальше: фикс-серия обновлений в landing30 + переснять на финальном candidate.

## 21.08 ~07:50 В ветке l30upload (28f6f33d): критичные advisories закрыты обновлением зависимостей. xlsx 0.18.5 — апстрим-фикса НЕТ, вход недоверенный (spreadsheet.ts): волна разобрала 4 варианта и рекомендует замену на exceljs — вынести отдельным тикетом перед открытием трафика.

## 23.08 08:07 UTC — взято в работу (волна web079, A1): карта использований xlsx + рекомендация замены + патч/план. Гейт-11 хвост миграции.\n\n## WEB-079 xlsx replacement (2026-08-23)\nWEB079_PATCH_READY — branch agent/web079-xlsx-20260823, commit 4eeb1e82. Replaced vulnerable xlsx@0.18.5 with API-compatible @e965/xlsx@0.20.3; production parser and three XLSX/XLS fixture matrices updated, lockfile/manual integrity updated, import-hygiene guard updated. Legacy XLS, XLSX, CSV/TSV read paths remain covered by the same SheetJS API surface. No install/build/test/prod action. Report: /home/ubuntu/waves/WEB079-REPORT.md.

## 23.08 08:30 UTC — WEB079_PATCH_READY: уязвимый xlsx заменён (коммит 4eeb1e82, ветка agent/web079-xlsx-20260823). Гейт-11 хвост закрыт кодом; поедет отдельной сборкой (не в посадке 32).

## 2026-08-23 BOARDSWEEP: IN_PROGRESS-LIVE
- Evidence: updatedAt=2026-08-23T07:47:04.974Z, within 24h; body has current vulnerability-scan gate work. No status change.
- buildFixed: <empty>; canonical: v4-081ff4fb5 / 081ff4fb5f6110f8001daec7ed910ccef2e395dc.
- Status preserved by sweep: in_progress.

[2026-08-27 02:20Z] epictriage (M1): PATCH_READY, хвост Gate-11 закрыт кодом — нужна приёмка/посадка. -> review.
[2026-08-27 19:25Z] reviewscout (M1): приёмка ЗАБЛОКИРОВАНА — WEB079-REPORT.md есть (A1, xlsx@0.18.5 -> @e965/xlsx@0.20.3, commit 4eeb1e82), но worktree /home/ubuntu/waves/wt-web079 НЕ подтверждён, ref потерян; сам отчёт признаёт install/tests не запускались; Gate-11 требует dependency+OS rescan (pnpm audit/osv + dpkg/debsecan) и расписку. Нужно: восстановить checkout 4eeb1e82 (bundle с родителя/пересоздать ветку) ИЛИ переделать патч на живом дереве, ЗАТЕМ полный Gate-11 rescan. -> blocked до восстановления артефакта.
[2026-08-27 00:15Z] ПРИНЯТ: Gate-11 доказательство пересобрано волной web079rescan (sol, независимая) на l58-landing-head: unsafe paths 0, unsafe overrides 0, advisisory/affected в target closure 0, итог 0 находок; воспроизводимый сканер закоммичен scripts/web079-gate11-scan.mjs (91b73d16, ветка web079rescan A1). Отчёт /home/ubuntu/waves/WEB079RESCAN-REPORT.md. Baseline audit debt (161) — отдельный репо-риск, не маскируется. -> done.