fix(deps): bump brace-expansion and js-yaml to resolve 6 Dependabot alerts

[shishi]

npm audit fix の結果、package-lock.json のみの変更です。

解消される Dependabot アラート (6件すべて)

Alert	Package	脆弱範囲	変更後	Advisory
#62	brace-expansion	< 1.1.16	1.1.12 → 1.1.16	GHSA-3jxr-9vmj-r5cp
#59	brace-expansion	>= 3.0.0, < 5.0.7	5.0.6 → 5.0.8	GHSA-3jxr-9vmj-r5cp
#61	js-yaml	>= 4.0.0, < 4.3.0	4.1.1 → 4.3.0	GHSA-52cp-r559-cp3m
#60	js-yaml	>= 3.0.0, < 3.15.0	3.14.2 → 3.15.0	GHSA-52cp-r559-cp3m
#58	js-yaml	< 3.15.0	3.14.2 → 3.15.0	GHSA-h67p-54hq-rp68
#57	js-yaml	>= 4.0.0, <= 4.1.1	4.1.1 → 4.3.0	GHSA-h67p-54hq-rp68

いずれも devDependencies の推移的依存で、DoS 系の advisory です。
brace-expansion と js-yaml はそれぞれ依存ツリー内に異なるメジャーで2箇所存在するため、片方だけの更新では半分のアラートが残ります。

--force を使っていない理由

package.json の semver 範囲内でオープンな6件すべてが解消できるため、lockfile のみの変更で済んでいます。

残る brace-expansion GHSA-mh99-v99m-4gvg (alert #63) は npm audit fix --force = eslint@10 への破壊的アップグレードが必要ですが、このアラートは GitHub 側で既に auto_dismissed になっているため対象外としました。

動作確認

ローカル (Node v24.18.0 / npm 11.16.0) で以下を確認済みです。

• npm test (pretest の prettier --check + eslint を含む) → 2 passed
• npm run test:mjs → 2 passed
• npm ci でクリーンインストールが再現し、lockfile が追加変更されないこと
• 更新後4パッケージの integrity ハッシュが npm レジストリの実体と一致すること

brace-expansion 5.0.8 は engines から Node 18 が外れますが (18 || 20 || >=22 → 20 || >=22)、CI マトリクスは Node 22.x / 24.x のため影響ありません。