2026-08-08 npm 公告：image-size <=2.0.2 存在 ICNS / JXL / HEIF 解析无限循环 DoS（high），而 image-size 最新版即 2.0.2——上游无修复版本（patched: <0.0.0）。
依赖链：mobile-rn > expo > @expo/metro > metro > image-size（metro 0.87.0 依赖 ^1.0.2）。
处理（PR #1662）：
- 已登记到 scripts/verify/vulnerability-exceptions.json（门禁降级为警告 + 追踪）
- dompurify / nanoid 同批公告已通过 pnpm.overrides 修复（可修复项不登记）
移除例外条件：image-size 发布修复版本并升级 metro/expo 链。请定期复查（npm view image-size version）。
2026-08-08 npm 公告：image-size <=2.0.2 存在 ICNS / JXL / HEIF 解析无限循环 DoS（high），而 image-size 最新版即 2.0.2——上游无修复版本（patched: <0.0.0）。
依赖链：mobile-rn > expo > @expo/metro > metro > image-size（metro 0.87.0 依赖 ^1.0.2）。
处理（PR #1662）：
移除例外条件：image-size 发布修复版本并升级 metro/expo 链。请定期复查（npm view image-size version）。