Release: staging -> main (2026-04-13)

[github-actions]

Summary

Promotes staging into main.

• Source branch: staging
• Target branch: main
• Generated by npm run pr:promote

Included PRs

• chore: sync main into staging #418: chore: sync main into staging (@app/github-actions)
• chore(security): auto fix OSV-Scanner vulnerabilities #413: chore(security): auto fix OSV-Scanner vulnerabilities (@is0692vs)

Compare

• https://github.com/Hiroki-org/OpenShelf/compare/main...staging?expand=1

[vercel]

The latest updates on your projects. Learn more about Vercel for GitHub.

1 Skipped Deployment

Project	Deployment	Actions	Updated (UTC)
open-shelf	Ignored		Apr 13, 2026 3:49am

[greptile-apps]

GITHUB_Token で作成した PR は CI がトリガーされない

token を指定していないため、peter-evans/create-pull-request はデフォルトで GITHUB_TOKEN を使用します。GITHUB_TOKEN で作成した PR に対しては、pull_request ベースの CI ワークフロー（lint・テスト等）が自動トリガーされません。セキュリティ修正の妥当性をCIで検証したい場合は、PAT または GitHub App トークンを用意して token に渡す必要があります。

Prompt To Fix With AI

This is a comment left during a code review.
Path: .github/workflows/osv-auto-fix.yml
Line: 45-56

Comment:
**GITHUB_Token で作成した PR は CI がトリガーされない**

`token` を指定していないため、`peter-evans/create-pull-request` はデフォルトで `GITHUB_TOKEN` を使用します。`GITHUB_TOKEN` で作成した PR に対しては、`pull_request` ベースの CI ワークフロー（lint・テスト等）が自動トリガーされません。セキュリティ修正の妥当性をCIで検証したい場合は、PAT または GitHub App トークンを用意して `token` に渡す必要があります。

How can I resolve this? If you propose a fix, please make it concise.

[greptile-apps]

brace-expansion のハードコードは将来の汎用性を下げる

npm update brace-expansion は今回の特定の CVE に対応するためハードコードされていますが、このワークフローは今後も別の脆弱性が検出されるたびに実行されます。別の脆弱性が対象になった場合でも毎回 brace-expansion を更新し続けることになり、意図しないバージョン更新が入り込む可能性があります。修正済みの脆弱性向けのステップは削除し、npm audit fix のみに絞ることを検討してください。

Prompt To Fix With AI

This is a comment left during a code review.
Path: .github/workflows/osv-auto-fix.yml
Line: 36-43

Comment:
**`brace-expansion` のハードコードは将来の汎用性を下げる**

`npm update brace-expansion` は今回の特定の CVE に対応するためハードコードされていますが、このワークフローは今後も別の脆弱性が検出されるたびに実行されます。別の脆弱性が対象になった場合でも毎回 `brace-expansion` を更新し続けることになり、意図しないバージョン更新が入り込む可能性があります。修正済みの脆弱性向けのステップは削除し、`npm audit fix` のみに絞ることを検討してください。

How can I resolve this? If you propose a fix, please make it concise.

[codecov]

Codecov Report

✅ All modified and coverable lines are covered by tests.
✅ All tests successful. No failed tests found.

📢 Thoughts on this report? Let us know!

[codspeed-hq]

Merging this PR will not alter performance

✅ 2 untouched benchmarks
⏩ 15 skipped benchmarks¹

---

_{Comparing staging (0fd0979) with main (1364f9b)}

Footnotes

1. 15 benchmarks were skipped, so the baseline results were used instead. If they were deleted from the codebase, click here and archive them to remove them from the performance reports. ↩