[souta-lab]

公開済みの脆弱性に該当する依存を更新し、不正なHTTP応答によるプロセス停止を防ぎます。

• undici: 8.10.2 → 8.12.2。Issue npm配布版0.1.7: undici・minimatchの公開済み脆弱性への対応 #1 の8件のアドバイザリーに対応。
• minimatch: 10.2.6 → 11.0.1。glob前処理の増幅によるDoSに対応。
• ルートと coding-agent インストーラーの lockfile を更新。
• 不正な Content-Encoding と本文の途中切断をローカルTCPサーバーで返す回帰テストを追加。独立プロセスで undici.fetch と設定済みのグローバル fetch の両方を確認し、Hasilan専用CIの実行対象に追加。

undici の更新区間のリリースノートを確認しました。HTTP/2・プロキシ・圧縮・キャッシュなどに修正があるため、既存のHTTPプロキシテストも実行しています。minimatch 11 はマッチャーの実装と一部APIが変わるため、モデル選択とパッケージ管理のテストも確認しています。

undici 8.12.2 / minimatch 11.0.1

検証:

• npm run build:hasilan: 成功。
• npm run check: 成功。
• HTTP dispatcher・モデル選択・パッケージ管理: 196件成功、下記の既存失敗1件を除外して確認。
• Hasilan専用CIのSDKテスト3ファイル（HTTP dispatcherを含む）: 31件成功。
• 除外前のモデル選択テストは commandcode default undefined で1件失敗。変更前の HEAD の別worktreeでも同じ失敗を再現。
• ./test.sh も実行し、失敗を確認した時点で全体実行を途中停止しました。実行環境の fd 不足、未ビルドのワークスペース参照、カタログ設定との不整合による失敗があるため Draft としています。
• リポジトリ全体の scripts/npm-audit.mjs は、別の依存経路の undici 6系・node-forge・zod のアドバイザリー14件が残って失敗します。このPRで全依存の監査がクリーンになるとはしていません。

Node.js v25.9.0 / Linux x86_64で確認。依存の更新によってNode.js自体の組み込みundiciが置き換わるわけではないため、ランタイムの更新は別途必要です。

Closes #1

AI-assisted implementation and validation.