Ficha 5.13 / 6.16 (dependencias)

• Versión: lockfiles de nara-web 8378cb9 y nara-api 1f04025, copiados con git show a copia-nara-web/ y copia-nara-api/.
• Fecha: 2026-10-10 11:32 (Bogotá).
• Método: npm audit --package-lock-only (texto y JSON).
• Resultado:
  • nara-web: 0 critical, 6 high, 2 moderate, 554 dependencias.
    • next 16.4.0 ya está fuera del rango vulnerable y xlsx se eliminó.
    • 5 de las high son de la cadena de eslint (eslint-config-next, @next/eslint-plugin-next, fast-glob, micromatch, braces). Son solo de desarrollo y docs/trl-deps-audit-plan.md las cubre con un plan.
    • source-map-js 1.2.1 (high, DoS) llega a producción por next/node_modules/postcss (dev=false en el lockfile). Tiene corrección simple (fixAvailable: true) y el plan no la menciona.
    • Nuevas moderate por exceljs → uuid <11.1.1 (producción).
  • nara-api: 0 critical, 0 high, 20 moderate, 743 dependencias. Sin regresión.
• Estado: 5.13 Parcial (una high sin plan) · 6.16 Pasa (0 critical e inventario).
• Evidencia: npm-audit-nara-*.json|.txt, resumen_audit.json.
• Limitaciones: auditoría del lockfile, no del build desplegado.