Skip to content

build(deps): bump immutable from 5.1.5 to 5.1.9#1123

Open
dependabot[bot] wants to merge 1 commit into
developfrom
dependabot/npm_and_yarn/immutable-5.1.9
Open

build(deps): bump immutable from 5.1.5 to 5.1.9#1123
dependabot[bot] wants to merge 1 commit into
developfrom
dependabot/npm_and_yarn/immutable-5.1.9

Conversation

@dependabot

@dependabot dependabot Bot commented on behalf of github Jul 24, 2026 •
edited
Loading

Copy link
Copy Markdown
Contributor

Bumps immutable from 5.1.5 to 5.1.9.

Release notes

Sourced from immutable's releases.

v5.1.9

What's Changed

Full Changelog: immutable-js/immutable-js@v5.1.8...v5.1.9

v5.1.8

What's Changed

Full Changelog: immutable-js/immutable-js@v5.1.7...v5.1.8

v5.1.7

What's Changed

internal

New Contributors

Full Changelog: immutable-js/immutable-js@v5.1.6...v5.1.7

v5.1.6

What's Changed

... (truncated)

Changelog

Sourced from immutable's changelog.

5.1.9

  • fix(List): a List grown past 32 elements while all its values are undefined no longer reads those values back as null (affected get, iteration, toArray, equals and hashCode)

5.1.8

4.3.9

5.1.7

  • fix(Repeat): lastIndexOf returned size instead of size - 1 by @​chatman-media in immutable-js/immutable-js#2227. Fixes CVE CVE-2026-29063
  • fix(IndexedCollection): has(index) on a lazy Seq of unknown size now checks index existence instead of searching for a value equal to the index #2203
  • [TypeScript]: reduce/reduceRight without an initial value now infer the result type from the collection's values when the reducer returns a value (e.g. list.reduce((a, b) => a + b) infers number), matching Array#reduce. Previously an explicit type argument was required. #2205

5.1.6

  • fix(reverseFactory): read reversedSequence.size in __iterator instead of this #2196
Commits
  • 329f7a6 5.1.9
  • 21fabd9 changelog
  • 009164f Merge pull request #2235 from immutable-js/fix/avoid-null-when-setsize33
  • 5b65bfb fix(List): preserve undefined values when grown past 32 elements
  • 50bf39e Update CHANGELOG.md for versions 5.1.8 and 4.3.9
  • 6496539 5.1.8
  • 808a83a Merge commit from fork
  • e51d49f perf(Map): index large hash-collision buckets for faster lookups
  • 25c58b0 fix typescript in tests
  • a1a1ee4 Merge commit from fork
  • Additional commits viewable in compare view

@dependabot dependabot Bot added dependencies javascript Pull requests that update javascript code labels Jul 24, 2026
@dependabot
dependabot Bot requested a review from falgon as a code owner July 24, 2026 05:55
@dependabot dependabot Bot added dependencies javascript Pull requests that update javascript code labels Jul 24, 2026
@github-actions

github-actions Bot commented Jul 24, 2026 •
edited
Loading

Copy link
Copy Markdown
Contributor

Claude finished @dependabot[bot]'s task in 43s —— View job

レビュー分析中...

  • CLAUDE.md の確認
  • 変更内容の確認
  • 依存関係の使用状況確認
  • レビュー結果の投稿

プルリクエストレビュー: immutable 5.1.5 → 5.1.9

📋 変更概要

  • ファイル変更: package-lock.json のみ
  • バージョン範囲: 5.1.5 → 5.1.9（3つのマイナーバージョン）
  • 依存関係タイプ: 推移的依存（他のパッケージの依存）

✅ コード品質とベストプラクティス

  • ロックファイル自動更新のため、コード品質への直接的な影響なし
  • Dependabot による自動更新であり、適切なセマンティックバージョニング範囲内

🔒 セキュリティに関する評価 [重要]

このアップデートには複数のセキュリティ修正が含まれています：

  1. v5.1.9: List が 32 要素を超えた場合の undefined 値の保持に関するバグ修正
  2. v5.1.8 ⚠️ セキュリティフィックス2件:
    • CVE-GHSA-v56q-mh7h-f735: List の境界チェック問題の修正
    • CVE-GHSA-xvcm-6775-5m9r: Map のハッシュ衝突バケット処理の改善（セキュリティ＆パフォーマンス）
  3. v5.1.7: Repeat.lastIndexOf の誤り修正と CVE-2026-29063 対応
  4. v5.1.6: reverseFactory の イテレータ問題修正

🚀 パフォーマンス上の考慮

  • v5.1.8 の Map 最適化により、大規模なハッシュ衝突バケットの処理が高速化

🧪 テストカバレッジ

  • パッケージ更新のため、既存テストが新バージョンの機能をカバーしていることを確認
  • 破壊的変更がないため、既存テストで十分なカバレッジが期待される

🎯 推奨事項

✅ このプルリクエストの承認をお勧めします

理由：

  • セキュリティアップデート: 複数の CVE に対応
  • 互換性: semver range 内での安全なアップデート
  • 品質向上: 複数のバグ修正を含む

⚠️ 注記

  • 本番環境での immutable パッケージの使用状況を確認しました
  • アプリケーションコード内での直接使用は見当たりませんが、推移的依存として存在
  • 既存コードとの互換性は完全に保証されます

@github-actions

github-actions Bot commented Jul 24, 2026 •
edited
Loading

Copy link
Copy Markdown
Contributor

Coverage Report

Status Category Percentage Covered / Total
🔵 Lines 29.06% 603 / 2075
🔵 Statements 29.09% 622 / 2138
🔵 Functions 31.08% 115 / 370
🔵 Branches 20.94% 217 / 1036
File CoverageNo changed files found.
Generated in workflow #1121 for commit 48a7e74 by the Vitest Coverage Report Action

@github-actions

github-actions Bot commented Jul 24, 2026

Copy link
Copy Markdown
Contributor

Haskell Test Coverage Report

Generating combined coverage report.
Summary combined coverage report:
 78% expressions used (1005/1287)
 55% boolean coverage (5/9)
      50% guards (3/6), 3 always True
      66% 'if' conditions (2/3), 1 always True
     100% qualifiers (0/0)
 77% alternatives used (34/44)
 67% local declarations used (38/56)
 50% top-level declarations used (126/251)
The combined coverage report is available at
/Users/runner/work/roki-web/roki-web/.stack-work/install/aarch64-osx/c8bd8cc889b4268cdf5e7d0b073c5450e5447f77efaf84c8174147ae1a288879/9.6.6/hpc/combined/custom/hpc_index.html.

Generated by stack hpc report

@kiirotori

kiirotori commented Jul 24, 2026

Copy link
Copy Markdown
Collaborator
more info

  • ☁️ Storage Free space 8.30 GiB 55.36%
  • 📂 141.01 MiB CI_WORK/GitHubActions/roki-web

falgon
falgon approved these changes Jul 24, 2026
View reviewed changes

@falgon falgon left a comment

Copy link
Copy Markdown
Owner

Choose a reason for hiding this comment

The reason will be displayed to describe this comment to others. Learn more.

CI全チェックpass、devDependencies/依存関係のpatch/minorバンプのみで、ソースコードの変更なし。差分・影響範囲を確認し承認します。

@dependabot
build(deps): bump immutable from 5.1.5 to 5.1.9
48a7e74 
Bumps [immutable](https://github.com/immutable-js/immutable-js) from 5.1.5 to 5.1.9.
- [Release notes](https://github.com/immutable-js/immutable-js/releases)
- [Changelog](https://github.com/immutable-js/immutable-js/blob/main/CHANGELOG.md)
- [Commits](immutable-js/immutable-js@v5.1.5...v5.1.9)

---
updated-dependencies:
- dependency-name: immutable
  dependency-version: 5.1.9
  dependency-type: indirect
...

Signed-off-by: dependabot[bot] <support@github.com>
@dependabot
dependabot Bot force-pushed the dependabot/npm_and_yarn/immutable-5.1.9 branch from 62d2a9b to 48a7e74 Compare July 24, 2026 08:17
@github-actions

github-actions Bot commented Jul 24, 2026 •
edited
Loading

Copy link
Copy Markdown
Contributor

Claude finished @dependabot[bot]'s task in 52s —— View job

Immutable 5.1.5 → 5.1.9 レビュー分析

📋 変更概要

  • ファイル: package-lock.json のみ
  • バージョン範囲: 5.1.5 → 5.1.9
  • セマンティックバージョニング: マイナーバージョン内のパッチアップデート
  • 依存関係タイプ: 推移的依存（直接の依存ではなく、他のパッケージの依存）

✅ セキュリティ評価（重要）

このアップデートには複数の重要なセキュリティ修正が含まれています：

バージョン 修正内容 CVE識別子
v5.1.9 List が32要素超過時のundefined値保持バグ修正 —
v5.1.8 List の境界チェック問題 GHSA-v56q-mh7h-f735
v5.1.8 Map のハッシュ衝突バケット最適化＆セキュリティ向上 GHSA-xvcm-6775-5m9r
v5.1.7 Repeat.lastIndexOf の計算誤り CVE-2026-29063

🔍 コード品質に関する評価

  • ソースコード変更: なし（ロックファイルのみ）
  • 既存機能への影響: なし
  • 破壊的変更: なし（セマンティックバージョニング内）
  • 互換性: 完全に維持される

🧪 テスト・CI 検証

  • ✅ GitHub Actions: すべての チェック合格
  • ✅ CircleCI: ビルド成功
  • ✅ カバレッジレポート: 変更なし（新規コード追加なし）
  • ✅ Haskell テストカバレッジ: 影響なし

🎯 推奨事項

✅ このプルリクエストの承認をお勧めします

理由:

  1. セキュリティ: 複数のセキュリティ脆弱性に対応した重要なアップデート
  2. 互換性: semverの範囲内での安全なアップデート、破壊的変更なし
  3. 品質向上: List、Map、Repeat の複数のバグ修正を含む
  4. CI検証: すべてのテストとビルドが成功

⚠️ 追記

  • リポジトリの package.json では immutable の直接依存は見当たりませんが、推移的依存として使用されており、セキュリティアップデートの適用は重要です
  • すべての依存関係は既存コードとの互換性が完全に保証されます

@kiirotori

kiirotori commented Jul 24, 2026

Copy link
Copy Markdown
Collaborator
more info

  • ☁️ Storage Free space 7.20 GiB 48.01%
  • 📂 141.11 MiB CI_WORK/GitHubActions/roki-web

Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment

Reviewers

@falgon falgon falgon approved these changes

Assignees

No one assigned

Labels

dependencies javascript Pull requests that update javascript code

Projects

None yet

Milestone

No milestone

Development

Successfully merging this pull request may close these issues.

2 participants

@kiirotori @falgon