[ChristoPy]

Sobe a imagem de oven/bun:1.4.3-alpine para oven/bun:1.4.4-alpine. A 1.4.4 corrige o CVE-2026-111497 na descompressão brotli (oven-sh/bun#46392). O servidor só chama a API da AbacatePay, então a exposição era baixa, mas não há motivo para ficar numa versão afetada.

Também sobe body-parser para 2.4.0 e fast-uri para 3.1.9 via overrides. O bun audit do CI passou a falhar por avisos publicados depois do último CI da main: GHSA-27r3-jxmh-p828 (high, DoS no body-parser com corpo comprimido, que o express.json do /mcp usa) e quatro do fast-uri. Sem essas versões o CI não passa.

Validação

Construí a imagem nas duas versões e comparei:

• bun test tests/unit: 79 testes passam nas duas, idênticos teste a teste.
• Boot do http-server.ts com uma API falsa: /health, metadados OAuth, 401 sem chave, initialize, tools/list (55 ferramentas, saída idêntica), tools/call com resposta gzip, createCustomer com acento e 404 para sessão desconhecida. Respostas, requisições recebidas pela API falsa e logs saíram iguais.
• Com o lockfile novo, a 1.4.4 repete os mesmos resultados; bun audit, lint e tsc --noEmit passam.
• Memória depois do boot: cerca de 45 MiB nas duas.

O merge na main faz o deploy no Fly.

🤖 Generated with Claude Code