chore: opensheetmusicdisplay / osmd-audio-player の依存パッケージにセキュリティ脆弱性 (tar, jszip)

[isamu]

概要

opensheetmusicdisplay および osmd-audio-player の依存パッケージに脆弱性のあるバージョンが含まれている。

yarn audit で 35 件の脆弱性が検出されている（High: 26, Moderate: 9）。

脆弱なパッケージ

tar (High)

• パス: opensheetmusicdisplay > gl > node-gyp > tar, opensheetmusicdisplay > gl > node-gyp > make-fetch-happen > cacache > tar
• 脆弱性: Arbitrary File Creation/Overwrite via Hardlink Path Traversal, Symlink Poisoning via Insufficient Path Sanitization
• 修正バージョン: >=7.5.7

jszip (Moderate)

• パス: opensheetmusicdisplay > jszip, osmd-audio-player > opensheetmusicdisplay > jszip
• 脆弱性: Path Traversal via loadAsync
• 修正バージョン: >=3.8.0

対応方針

本リポジトリ側では直接修正できない（上流パッケージの transitive dependency）。

時間があるときに以下を検討する:

1. opensheetmusicdisplay 本家をフォークして依存パッケージを更新
2. 更新済みパッケージとしてビルド・公開
3. 本リポジトリの依存を更新済みフォーク版に差し替え

備考

• tar の脆弱性は gl (OpenGL binding) 経由の node-gyp 由来で、ブラウザ向けビルドではランタイムリスクは低い
• jszip はブラウザでも使われるためパストラバーサルのリスクがある