chore(release): v1.3.26 stable

fix(deps): golang.org/x/crypto v0.56.0 — zwei SSH-DoS-CVEs
GO-2026-6354/6355 (deadlocked channel → DoS) sind über remote.Service.Test → ssh.Dial im SFTP-Backup-Pfad erreichbar, der govulncheck-Gate hat das Release entsprechend blockiert. Nicht durch eine Code-Änderung ausgelöst — die CVEs wurden seit v1.3.25 publiziert. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-09-11 09:36:14 +02:00 · 2026-09-11 09:34:13 +02:00 · 2026-09-11 09:32:43 +02:00 · 2026-09-02 16:49:18 +02:00 · 2026-09-02 16:48:36 +02:00 · 2026-09-02 16:46:12 +02:00
12 changed files with 93 additions and 40 deletions
--- a/2
+++ b/2
@@ -1 +1 @@
-1.3.24
+1.3.26
--- a/go.mod
+++ b/go.mod
@@ -18,7 +18,7 @@ require (
 	github.com/pquerna/otp v1.5.0
 	github.com/pressly/goose/v3 v3.27.1
 	github.com/skip2/go-qrcode v0.0.0-20200617195104-da1b6568686e
-	golang.org/x/crypto v0.53.0
+	golang.org/x/crypto v0.56.0
 	golang.org/x/oauth2 v0.36.0
 )

@@ -80,12 +80,12 @@ require (
 	go.uber.org/multierr v1.11.0 // indirect
 	go.yaml.in/yaml/v3 v3.0.4 // indirect
 	golang.org/x/arch v0.8.0 // indirect
-	golang.org/x/mod v0.37.0 // indirect
-	golang.org/x/net v0.56.0 // indirect
-	golang.org/x/sync v0.21.0 // indirect
-	golang.org/x/sys v0.46.0 // indirect
-	golang.org/x/text v0.39.0 // indirect
-	golang.org/x/tools v0.47.0 // indirect
+	golang.org/x/mod v0.38.0 // indirect
+	golang.org/x/net v0.57.0 // indirect
+	golang.org/x/sync v0.22.0 // indirect
+	golang.org/x/sys v0.47.0 // indirect
+	golang.org/x/text v0.41.0 // indirect
+	golang.org/x/tools v0.48.0 // indirect
 	google.golang.org/protobuf v1.36.11 // indirect
 	gopkg.in/yaml.v3 v3.0.1 // indirect
 	rsc.io/binaryregexp v0.2.0 // indirect
--- a/go.sum
+++ b/go.sum
@@ -186,24 +186,24 @@ go.yaml.in/yaml/v3 v3.0.4/go.mod h1:DhzuOOF2ATzADvBadXxruRBLzYTpT36CKvDb3+aBEFg=
 golang.org/x/arch v0.0.0-20210923205945-b76863e36670/go.mod h1:5om86z9Hs0C8fWVUuoMHwpExlXzs5Tkyp9hOrfG7pp8=
 golang.org/x/arch v0.8.0 h1:3wRIsP3pM4yUptoR96otTUOXI367OS0+c9eeRi9doIc=
 golang.org/x/arch v0.8.0/go.mod h1:FEVrYAQjsQXMVJ1nsMoVVXPZg6p2JE2mx8psSWTDQys=
-golang.org/x/crypto v0.53.0 h1:QZ4Muo8THX6CizN2vPPd5fBGHyogrdK9fG4wLPFUsto=
-golang.org/x/crypto v0.53.0/go.mod h1:DNLU434OwVakk9PzuwV8w62mAJpRJL3vsgcfp4Qnsio=
-golang.org/x/mod v0.37.0 h1:vF1DjpVEshcIqoEaauuHebaLk1O1forxjxBaVn884JQ=
-golang.org/x/mod v0.37.0/go.mod h1:m8S8VeM9r4dzDwjrKO0a1sZP3YjeMamRRlD+fmR2Q/0=
-golang.org/x/net v0.56.0 h1:Rw8j/hFzGvJUZwNBXnAtf5sVDVt+65SK2C7IxCxZt5o=
-golang.org/x/net v0.56.0/go.mod h1:D3Ku6r+V6JROoZK144D2XfMHFcMq/0zSfLelVTCFKec=
+golang.org/x/crypto v0.56.0 h1:GUh5Ii4J5jtcseSMiRqr1jXCNHoxjeV9Fmekc2oLy6Y=
+golang.org/x/crypto v0.56.0/go.mod h1:OMW5y6CY9l38uPLmxU6l6pwcXp1obtLo3e6gT7gQR2I=
+golang.org/x/mod v0.38.0 h1:MECBjubtXD7yj4HrhIUcywNaGeNVUdfVnxmPajOk4yk=
+golang.org/x/mod v0.38.0/go.mod h1:V6Xz0pq8TQ3dGqVQ1FVHuelZpAL0uNhSkk9ogYP3c40=
+golang.org/x/net v0.57.0 h1:K5+3DljvIuDG9/Jv9rvyMywYNFCQ9RSUY6OOTTkT+tE=
+golang.org/x/net v0.57.0/go.mod h1:KpXc8iv+r3XplLAG/f7Jsf9RPszJzdR0f58q9vGOuEU=
 golang.org/x/oauth2 v0.36.0 h1:peZ/1z27fi9hUOFCAZaHyrpWG5lwe0RJEEEeH0ThlIs=
 golang.org/x/oauth2 v0.36.0/go.mod h1:YDBUJMTkDnJS+A4BP4eZBjCqtokkg1hODuPjwiGPO7Q=
-golang.org/x/sync v0.21.0 h1:HLII4xRRTtCRkxYp4HNFF0Js/Og6q2i++KXbg0gHCwM=
-golang.org/x/sync v0.21.0/go.mod h1:9xrNwdLfx4jkKbNva9FpL6vEN7evnE43NNNJQ2LF3+0=
-golang.org/x/sys v0.46.0 h1:noSf2Fq6F8DBgS+LysIkx7rIExoNHJsxOAtPp4rthXw=
-golang.org/x/sys v0.46.0/go.mod h1:4GL1E5IUh+htKOUEOaiffhrAeqysfVGipDYzABqnCmw=
-golang.org/x/term v0.44.0 h1:0rLvDRCtNj0gZkyIXhCyOb2OAzEhLVqc4B+hrsBhrmc=
-golang.org/x/term v0.44.0/go.mod h1:7ze4MdzUzLXpSAoFP1H0bOI9aXDqveSvatT5vKcFh2Y=
-golang.org/x/text v0.39.0 h1:UbZz4pLOvn600D6Oh6GGEI6VAmndrEBLv8/6BEXzyus=
-golang.org/x/text v0.39.0/go.mod h1:3UwRclnC2g0TU9x8PZiyfOajCd1zaUNHF9cvqcQZ+ZM=
-golang.org/x/tools v0.47.0 h1:7Kn5x/d1svx/PzryTsqeoZN4TZwqeH5pGWjefhLi/1Q=
-golang.org/x/tools v0.47.0/go.mod h1:dFHnyTvFWY212G+h7ZY4Vsp/K3U4/7W9TyVaAul8uCA=
+golang.org/x/sync v0.22.0 h1:SZjpbeLmrCk4xhRSZFNZW5gFUeCeFgjekvI/+gfScek=
+golang.org/x/sync v0.22.0/go.mod h1:9xrNwdLfx4jkKbNva9FpL6vEN7evnE43NNNJQ2LF3+0=
+golang.org/x/sys v0.47.0 h1:o7XGOvZQCADBQQ4Y7VNq2dRWQR7JmOUW8Kxx4ZsNgWs=
+golang.org/x/sys v0.47.0/go.mod h1:4GL1E5IUh+htKOUEOaiffhrAeqysfVGipDYzABqnCmw=
+golang.org/x/term v0.45.0 h1:NwWyBmoJCbfTHpxrWoZ9C6/VxOf7ic219I8xZZFdrf0=
+golang.org/x/term v0.45.0/go.mod h1:9aqxs0blBcrm/n0L9QW0aRVD+ktan8ssZromtqJC43w=
+golang.org/x/text v0.41.0 h1:vz/seA0lnX87Othu2f/0L24RcgrXD9/YFTSuGjj3rH8=
+golang.org/x/text v0.41.0/go.mod h1:jvf1O8ajNzZqhSrQBPbutR/EB83Cc0CFrezNQIwbb5M=
+golang.org/x/tools v0.48.0 h1:3+hClM1aLL5mjMKm5ovokw9epgRXPuu2tILgismM6RE=
+golang.org/x/tools v0.48.0/go.mod h1:08xX0orndb/F7jJxGDicx061tyd5pcMto75YMAXr6lk=
 google.golang.org/protobuf v1.36.11 h1:fV6ZwhNocDyBLK0dj+fg8ektcVegBBuEolpbTQyBNVE=
 google.golang.org/protobuf v1.36.11/go.mod h1:HTf+CrKn2C3g5S8VImy6tdcUvCska2kB7j23XfzDpco=
 gopkg.in/check.v1 v0.0.0-20161208181325-20d25e280405/go.mod h1:Co6ibVJAznAaIkqp8huTwlJQCZ016jof/cbN4VW5Yz0=
--- a/management-ui/go.mod
+++ b/management-ui/go.mod
@@ -0,0 +1,8 @@
+// Modul-Grenze, kein eigenständiges Go-Modul mit Code. Verhindert dass
+// `go vet/build/test ./...` im Root-Modul in management-ui/node_modules/
+// hineinläuft — npm-Pakete (z.B. flatted) shippen dort teils rohe .go-
+// Dateien ohne eigenes go.mod, die sich bei jedem bun/npm install ändern
+// können und sonst ungefragt in EdgeGuards Go-Quality-Gates landen.
+module git.netcell-it.de/projekte/edgeguard-native/management-ui
+
+go 1.26
--- a/management-ui/src/pages/Alerts/index.tsx
+++ b/management-ui/src/pages/Alerts/index.tsx
@@ -438,7 +438,7 @@ export default function AlertsPage() {
                  onChange: (keys) => setSelectedIds(keys as number[]),
                }}
                rowClassName={(r) => (r.acknowledged_at ? 'eg-row-muted' : '')}
-                pagination={{ pageSize: 25 }}
+                pagination={{ defaultPageSize: 25 }}
                locale={{ emptyText: (
                  <EmptyState
                    icon={<BellOutlined />}
--- a/management-ui/src/pages/Backups/History.tsx
+++ b/management-ui/src/pages/Backups/History.tsx
@@ -350,7 +350,7 @@ export default function HistoryTab() {
        loading={list.isFetching}
        dataSource={list.data ?? []}
        columns={columns}
-        pagination={{ pageSize: 25, showSizeChanger: true, pageSizeOptions: [25, 50, 100] }}
+        pagination={{ defaultPageSize: 25, showSizeChanger: true, pageSizeOptions: [25, 50, 100] }}
        locale={{ emptyText: t('backups.empty') }}
      />

--- a/management-ui/src/pages/CrowdSec/index.tsx
+++ b/management-ui/src/pages/CrowdSec/index.tsx
@@ -225,7 +225,7 @@ function DecisionsTab() {
        loading={isLoading}
        dataSource={decisions ?? []}
        columns={columns}
-        pagination={{ pageSize: 20 }}
+        pagination={{ defaultPageSize: 20 }}
      />
      <Modal
        title={t('cs.decision.banModal')}
@@ -321,7 +321,7 @@ function AlertsTab() {
        loading={isLoading}
        dataSource={alerts ?? []}
        columns={columns}
-        pagination={{ pageSize: 20 }}
+        pagination={{ defaultPageSize: 20 }}
      />
    </div>
  )
@@ -379,7 +379,7 @@ function BouncersTab() {
        loading={isLoading}
        dataSource={bouncers ?? []}
        columns={columns}
-        pagination={{ pageSize: 20 }}
+        pagination={{ defaultPageSize: 20 }}
      />
    </div>
  )
@@ -436,7 +436,7 @@ function MachinesTab() {
        loading={isLoading}
        dataSource={machines ?? []}
        columns={columns}
-        pagination={{ pageSize: 20 }}
+        pagination={{ defaultPageSize: 20 }}
      />
    </div>
  )
@@ -515,7 +515,7 @@ function CollectionsTab() {
        loading={isLoading}
        dataSource={collections ?? []}
        columns={columns}
-        pagination={{ pageSize: 50 }}
+        pagination={{ defaultPageSize: 50 }}
      />
    </div>
  )
--- a/management-ui/src/pages/FirewallLive/index.tsx
+++ b/management-ui/src/pages/FirewallLive/index.tsx
@@ -129,6 +129,12 @@ export default function FirewallLivePage() {
  pausedRef.current = paused
  const pendingDuringPauseRef = useRef<Entry[]>([])
  const wsRef = useRef<WebSocket | null>(null)
+  // tRef statt `t` in den WS-Effect-Deps: `t` wechselt bei jedem
+  // i18n-Store-Update die Identität. Stünde es in den Deps, würde der
+  // Effect neu laufen — inkl. `setEntries([])` und WS-Reconnect, d. h.
+  // der Live-Puffer wäre ohne erkennbaren Grund plötzlich leer.
+  const tRef = useRef(t)
+  useEffect(() => { tRef.current = t }, [t])

  useEffect(() => {
    const t = setTimeout(() => setAppliedFilters(filters), 300)
@@ -187,7 +193,7 @@ export default function FirewallLivePage() {
        if (!cancelled && active) scheduleReconnect()
      }
      ws.onerror = () => {
-        setError(t('fwlog.connError'))
+        setError(tRef.current('fwlog.connError'))
      }
    }

@@ -204,7 +210,7 @@ export default function FirewallLivePage() {
      if (reconnectTimer) clearTimeout(reconnectTimer)
      if (wsRef.current) { wsRef.current.close(); wsRef.current = null }
    }
-  }, [active, query, t])
+  }, [active, query])

  // Resume: gebufferte Events in die Tabelle mergen.
  useEffect(() => {
@@ -412,7 +418,7 @@ export default function FirewallLivePage() {
            size="small"
            dataSource={[...entries].reverse()}
            columns={columns}
-            pagination={{ pageSize: 50, showSizeChanger: true, pageSizeOptions: [25, 50, 100, 200] }}
+            pagination={{ defaultPageSize: 50, showSizeChanger: true, pageSizeOptions: [25, 50, 100, 200] }}
            locale={{ emptyText: connected ? t('fwlog.empty') : t('fwlog.connecting') }}
          />
        </>
--- a/management-ui/src/pages/Logs/index.tsx
+++ b/management-ui/src/pages/Logs/index.tsx
@@ -293,7 +293,7 @@ export default function LogsPage() {
        loading={logsQuery.isFetching}
        dataSource={entries}
        columns={columns}
-        pagination={{ pageSize: 50, showSizeChanger: true, pageSizeOptions: [25, 50, 100, 200] }}
+        pagination={{ defaultPageSize: 50, showSizeChanger: true, pageSizeOptions: [25, 50, 100, 200] }}
      />

      {entries.length === 0 && !logsQuery.isFetching && (
--- a/management-ui/src/pages/Networks/Routes.tsx
+++ b/management-ui/src/pages/Networks/Routes.tsx
@@ -228,7 +228,7 @@ export default function RoutesTab() {
          size="small"
          dataSource={live.data ?? []}
          columns={liveColumns}
-          pagination={{ pageSize: 25, showSizeChanger: true, pageSizeOptions: [25, 50, 100] }}
+          pagination={{ defaultPageSize: 25, showSizeChanger: true, pageSizeOptions: [25, 50, 100] }}
          locale={{ emptyText: t('routes.liveEmpty') }}
          style={{ marginTop: 12 }}
        />
--- a/packaging/debian/edgeguard-api/DEBIAN/postinst
+++ b/packaging/debian/edgeguard-api/DEBIAN/postinst
@@ -410,9 +410,25 @@ SYSCTL
        if [ ! -f /var/log/edgeguard/firewall.jsonl ]; then
            : > /var/log/edgeguard/firewall.jsonl
        fi
-        # ulogd2 läuft als root (eigener Daemon); File muss von ihm
-        # schreibbar UND von edgeguard-API lesbar sein.
+        # WICHTIG (Incident 2026-09-06): ulogd2 läuft NICHT als root —
+        # die Debian-Unit startet `ulogd --daemon --uid ulog`, der Daemon
+        # dropped also nach dem Öffnen seiner Files auf den User `ulog`.
+        # Solange er läuft schreibt er über den offenen fd weiter, egal
+        # wem die Datei gehört. Aber: das Distro-Profil
+        # /etc/logrotate.d/ulogd2 schickt nachts SIGHUP an ulogd, damit
+        # es seine Logfiles neu öffnet — und DAS passiert als `ulog`.
+        # Gehörte die Datei root:edgeguard 0640, scheitert das Reopen mit
+        # "can't open JSON log file: Permission denied", ulogd wertet das
+        # als fatal und BEENDET sich. Ohne Restart= blieb der Dienst dann
+        # tagelang still tot (5 Tage unbemerkt) → Firewall-Live-Log zeigte
+        # nur noch den alten In-Memory-Ring der API, nie neue Events.
+        # Daher: Owner = ulog (Schreiber), Gruppe = edgeguard (Leser).
+        if getent passwd ulog >/dev/null 2>&1; then
+            chown ulog:"$EG_USER" /var/log/edgeguard/firewall.jsonl
+        else
+            # ulogd2 (noch) nicht installiert — Fallback wie bisher.
            chown root:"$EG_USER" /var/log/edgeguard/firewall.jsonl
+        fi
        chmod 0640 /var/log/edgeguard/firewall.jsonl

        cat > /etc/ulogd.conf <<'ULOGD'
@@ -460,7 +476,9 @@ ULOGD
    compress
    delaycompress
    copytruncate
-    create 0640 root edgeguard
+    # Owner muss ulog sein — siehe Kommentar oben: ulogd re-öffnet die
+    # Datei bei SIGHUP als `ulog` und stirbt sonst an EACCES.
+    create 0640 ulog edgeguard
 }
 LOGROTATE
        chmod 0644 /etc/logrotate.d/edgeguard-firewall
@@ -469,6 +487,18 @@ LOGROTATE
        # da ist (Dependency-Konflikt o.ä.), nur warnen — die Firewall
        # läuft auch ohne Logger.
        if systemctl list-unit-files ulogd2.service >/dev/null 2>&1; then
+            # Restart=always als Selbstheilung: ulogd beendet sich bei
+            # einem fehlgeschlagenen Reopen mit Exit-Code 0 (also KEIN
+            # Restart=on-failure — das würde nicht greifen). Ohne das
+            # bleibt Firewall-Logging nach einem Rotate-Hiccup still tot.
+            install -d -m 0755 /etc/systemd/system/ulogd2.service.d
+            cat > /etc/systemd/system/ulogd2.service.d/edgeguard-restart.conf <<'ULOGDUNIT'
+# Managed by edgeguard — re-installation overwrites this file.
+[Service]
+Restart=always
+RestartSec=5s
+ULOGDUNIT
+            systemctl daemon-reload
            systemctl enable ulogd2.service >/dev/null 2>&1 || true
            systemctl restart ulogd2.service || \
                echo "postinst: ulogd2.service restart failed (firewall logs disabled until fixed)" >&2
--- a/scripts/release.sh
+++ b/scripts/release.sh
@@ -50,6 +50,15 @@ if [ -z "${GITEA_TOKEN:-}" ]; then
 fi
 export GITEA_TOKEN

+# `make ui` fällt bei fehlendem bun auf `npm install` zurück (Convenience
+# für schnelle lokale Builds) — das löst Dependencies gegen package.json
+# neu auf statt gegen das gepinnte management-ui/bun.lock, und hinterlässt
+# eine package-lock.json die nichts mit dem committeten Lockfile zu tun
+# hat. Für einen Release (Testing ODER Stable) ist das nicht akzeptabel —
+# beide Kanäle müssen reproduzierbar aus dem gepinnten Lockfile bauen.
+command -v bun >/dev/null 2>&1 || \
+  abort "bun fehlt — Release-Builds müssen aus management-ui/bun.lock bauen, nicht aus dem npm-Fallback. Installieren: https://bun.sh/install"
+
 # ─── Testing-Version: datumsbasiert YYYY.MM.DD.NN ──────────────────────
 # NN = laufende Nummer für den Tag, ermittelt aus den bereits im Registry
 # vorhandenen Versionen des Meta-Pakets (edgeguard) mit dem heutigen
Author	SHA1	Message	Date
noroot	3215da8a84	chore(release): v1.3.26 stable	2026-09-11 09:36:14 +02:00
noroot	6f69697705	fix(deps): golang.org/x/crypto v0.56.0 — zwei SSH-DoS-CVEs GO-2026-6354/6355 (deadlocked channel → DoS) sind über remote.Service.Test → ssh.Dial im SFTP-Backup-Pfad erreichbar, der govulncheck-Gate hat das Release entsprechend blockiert. Nicht durch eine Code-Änderung ausgelöst — die CVEs wurden seit v1.3.25 publiziert. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-09-11 09:34:13 +02:00
noroot	33cfc1a90d	fix(fwlog): Live-Log war seit Tagen still tot + Seitengröße wirkungslos Zwei unabhängige Bugs hinter "Live-Log zeigt Einträge, aber nichts Neues": 1) ulogd2 stirbt beim nächtlichen Logrotate. Der postinst nahm an, ulogd laufe als root — die Debian-Unit startet aber `ulogd --daemon --uid ulog`. Beim Start öffnet ulogd die JSONL noch als root und schreibt danach über den offenen fd weiter, egal wem sie gehört. Nachts schickt das Distro- Profil /etc/logrotate.d/ulogd2 ein SIGHUP; das Reopen läuft dann als `ulog` und scheitert an root:edgeguard 0640 ("can't open JSON log file: Permission denied"). ulogd wertet das als fatal und beendet sich mit Exit-Code 0 — Restart=on-failure hätte also nicht gegriffen, und ohne Restart= blieb der Dienst tot (auf utm-1 5 Tage unbemerkt). Die API servierte derweil weiter ihren In-Memory-Ring von vor der Rotation, deshalb sah die UI Einträge, aber nie neue. Fix: Owner ulog (Schreiber) : edgeguard (Leser), logrotate `create` passend, plus Drop-in Restart=always als Selbstheilung. 2) Seitengröße liess sich nicht umstellen. Die Tabellen übergaben ein literales `pagination={{ pageSize: N }}`. antd merged via extendsObject(innerPagination, paginationObj) — der Prop überschreibt bei jedem Render den State, den der Size-Changer gerade gesetzt hat. Bei einem Live-Log rendert das im Sekundentakt, der Klick auf 20/100 war also sofort wieder weg. Fix: defaultPageSize (unkontrolliert). Betraf ausser dem Live-Log auch Logs, Backups-History, Routes, Alerts und CrowdSec. Ausserdem: `t` aus den WS-Effect-Deps genommen. i18n wechselt dessen Identität bei Store-Updates, was den Effect neu laufen liess — inklusive setEntries([]), d.h. der Live-Puffer leerte sich ohne erkennbaren Grund. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-09-11 09:32:43 +02:00
noroot	3e05c7fe49	chore(release): v1.3.25 stable	2026-09-02 16:49:18 +02:00
noroot	924540d7a9	fix(build): management-ui als eigene Go-Modul-Grenze golangci-lint schlug beim Stable-Release-Rebuild neu fehl: management-ui/node_modules/flatted/golang/pkg/flatted/flatted.go (eine rohe .go-Datei ohne eigenes go.mod, Teil des npm-Pakets "flatted") hat sich durch den bun-statt-npm-Rebuild inhaltlich geändert und wurde vom govet-Sublinter neu bemängelt — geriet nur ins Gate weil sie ohne Modul-Grenze automatisch unter `./...` des Root-Moduls fällt. management-ui/go.mod als reine Grenze (kein eigenständiges Buildable- Modul) stoppt `go vet/build/test ./...` davor, überhaupt dort hineinzulaufen — robuster als ein golangci-lint-Pfad-Exclude, weil es auch die plain go vet/build/test-Schritte in release-check erfasst, nicht nur golangci-lint. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-02 16:48:36 +02:00
noroot	561816d79d	fix(release): bun statt npm-Fallback für Release-Builds erzwingen make ui fällt ohne bun still auf npm install zurück — löst Dependencies gegen package.json neu auf statt gegen das gepinnte management-ui/ bun.lock und hinterlässt eine dazu inkonsistente package-lock.json. Der gelockerte Dirty-Check (--untracked-files=no, letzter Commit) ignoriert genau dieses Artefakt, weil es zusammen mit anderer fremder unversionierter Arbeit im Repo liegt — beide Fixes zusammen hätten also einen Release mit abweichender Dependency-Auflösung klaglos durchgelassen. release.sh bricht jetzt hart ab wenn bun fehlt, statt sich auf den Fallback zu verlassen — Release-Builds (Testing UND Stable) müssen reproduzierbar aus dem gepinnten Lockfile bauen. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-02 16:46:12 +02:00
@@ -1 +1 @@
 .3.24
 .3.26