fix: resolve dependabot runtime and gui alerts

Author: apstenku123

docs/changelog/2026-07-16-hardening-ru.html

@@ -130,10 +130,15 @@ <h2>Проверки</h2>
     </tbody>
   </table></div>
 
+  <h2>Dependabot: review 17 июля 2026</h2>
+  <p><code>vbgui/package.json</code> и lock обновлены: Vite <code>6.4.3</code>, Vitest и coverage <code>3.2.6+</code>, Babel <code>7.29.6</code>, form-data <code>4.0.6</code>, ws <code>8.21.0</code>. <code>npm audit</code> сообщает <code>0 vulnerabilities</code>; закрыта critical Vitest UI server группа и связанные Vite/esbuild/ws/form-data alerts.</p>
+  <p>В <code>gui</code> extra добавлены floors <code>starlette&gt;=1.3.1</code> и <code>idna&gt;=3.15</code>; lock содержит Starlette <code>1.3.1</code> и idna <code>3.18</code>. Прошли <code>575/575</code> vbgui tests, <code>56</code> FastAPI/TestClient tests, typecheck, production и widget builds. <code>npm run lint</code> остаётся environment gap: script есть, но ESLint не объявлен в dependencies; это не скрыто установкой незаявленного пакета.</p>
+
   <h2>Остаточные риски</h2>
   <p class="warn">CUDA kernel compile/run здесь не выполнялся: Mac не даёт H200/B200 proof. Hardware test остаётся receipt-gated для self-hosted runner.</p>
   <p>TileLang и TVM worktrees сейчас dirty; запуск без явного opt-in блокируется. Два xfail относятся к известной chained-backward parity работе.</p>
   <p>Repo-wide Ruff ещё содержит 411 legacy violations в нетронутых файлах; все Python-файлы production diff проходят pinned changed-file Ruff.</p>
+  <p><code>npm run lint</code> в <code>vbgui</code> пока не является зелёным gate: отсутствует объявленный ESLint toolchain.</p>
 
   <footer>Отчёт построен по текущему source tree и live receipts, а не по старым review notes.</footer>
 </main>

docs/changelog/2026-07-16-hardening-ru.md

@@ -148,6 +148,21 @@ production commit.
 | `git diff --check` | PASS |
 | HTML changelog desktop/mobile | PASS: 1440px и 390px без page-level horizontal overflow |
 
+## Dependabot review: 17 июля 2026
+
+- `vbgui/package.json` и `package-lock.json`: Vite поднят до `6.4.3`, Vitest
+  и coverage до `3.2.6+`, а transitive `@babel/core`, `form-data` и `ws`
+  закреплены на `7.29.6`, `4.0.6` и `8.21.0`. `npm audit` теперь сообщает
+  `0 vulnerabilities`; закрыта critical Vitest UI server группа и связанные
+  Vite/esbuild/ws/form-data alerts.
+- `gui` extra теперь явно требует `starlette>=1.3.1` и `idna>=3.15`;
+  lock содержит Starlette `1.3.1` и idna `3.18`. `uv lock --check`,
+  `uv lock --check --no-sources` и `uv pip check` прошли.
+- Проверены `575/575` vbgui tests, `56` FastAPI/TestClient tests, typecheck,
+  production build и widget build. `npm run lint` остаётся environment gap:
+  script существует, но ESLint не объявлен в vbgui dependencies; это не было
+  замаскировано установкой незаявленного пакета.
+
 Команда полного теста:
 
 ```bash
@@ -172,3 +187,5 @@ env -u PYTHONPATH -u PYTHONHOME -u VIRTUAL_ENV \
   работе и не скрывают неожиданные failures.
 - Полный repo-wide Ruff остаётся legacy debt (`411` нарушения в нетронутых
   файлах); все Python-файлы production diff проходят pinned changed-file Ruff.
+- `npm run lint` в `vbgui` пока не является зелёным gate: отсутствует
+  объявленный ESLint toolchain.

pyproject.toml

@@ -23,6 +23,8 @@ parquet = [
 gui = [
     "pydantic>=2.10",
     "fastapi>=0.110",
+    "starlette>=1.3.1",
+    "idna>=3.15",
     "uvicorn>=0.30",
     "websockets>=12",
     "httpx>=0.27",