state: sync after #108 and #115

Version was still recorded as 1.6.4/16 while master is at 1.6.6/18.
Records the security remediation outcome (19 vulns / 9 HIGH -> 10 / 0
HIGH), the override inventory, and the three @expo/metro shims that no
longer resolve under metro 0.83.8 -- inert today, but worth re-checking
at the next Expo SDK bump.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_016Y4GzEsmDryrwtQcmBNw9P

STATE.md

@@ -1,13 +1,24 @@
 # STATE — simpl-liste
 
-> Derniere MAJ : 2026-07-27 (par fix-issue #68)
+> Derniere MAJ : 2026-09-04 (remediation securite #108 + #115)
 
 ## Position actuelle
 
-Version 1.6.4 (versionCode 16). Remediation vulnerabilites du defenseur en cours
-via overrides `@xmldom/xmldom@^0.8.13` et `uuid@^11.0.0` dans `package.json`
-(overnight 2026-04-24). 4 CVE HIGH xmldom nettoyees ; 1 advisory uuid residuelle
-non-exploitable en pratique (details dans `SECURITY.md`).
+Version 1.6.6 (versionCode 18). **Zero finding high ou critical dans l'arbre** apres
+#114 (merged) et PR #116 (ouverte) : `npm audit` passe de 19 vulnerabilites / 9 HIGH
+a 10 / 0 HIGH. Restent 9 moderate et 1 low, inchangees.
+
+La remediation passe par des overrides de plancher dans `package.json` :
+`esbuild`, `@xmldom/xmldom`, `uuid`, `postcss`, `js-yaml`, `brace-expansion`,
+`@babel/core`, `browserslist@^4.28.7`, et les 14 paquets `metro@^0.83.8`.
+
+**Caveat sur l'override metro** (releve par la review de PR #114) : `0.83.3 -> 0.83.8`
+n'est pas un bump de patch pur cote API privee. Trois shims de `@expo/metro@54.2.0`,
+ecrit contre 0.83.3, ne resolvent plus — `metro-resolver/utils/toPosixPath` et
+`metro/node-haste/Package` supprimes, `metro-file-map/lib/dependencyExtractor` deplace.
+Ils leveraient `MODULE_NOT_FOUND`, mais **aucun paquet de l'arbre ne les requiert**
+(203 des 206 imports profonds `metro*/private/...` resolvent). Inerte aujourd'hui ;
+a re-verifier au prochain bump du SDK Expo ou de `@expo/metro`.
 
 Companion web `liste.lacompagniemaximus.com` : deploye **manuellement** (docker-compose
 standalone `/data/simpl-liste-web` sur le VPS, build depuis `source/` rsync — PAS une app
@@ -15,6 +26,9 @@ Coolify malgre la spec). Procedure en memoire `simpl-liste-web-deploy`.
 
 ## Decisions recentes
 
+- 2026-09-04 : #115 ouverte + PR #116 — `browserslist@^4.28.7` (2 advisories HIGH publiees le 2026-09-01, `first_patched_version = 4.28.7`). Resout en 4.28.9, derniere HIGH de l'arbre. Bundle Hermes au hash identique avant/apres : cibles de compilation inchangees.
+- 2026-09-04 : #112 fermee doublon de #108 ; PR #113 fermee sans merge (son diff ne contenait aucune occurrence d'`image-size` — 633/584 de churn de lockfile sans rapport).
+- 2026-09-04 : #108 fermee (PR #114 merged) — `image-size` retiree de l'arbre via overrides `metro@^0.83.8`. Le blocage upstream tient toujours (`first_patched_version = None`, `2.0.2` reste la derniere publiee) ; c'est metro qui a **supprime** la dependance et vendore un parseur reduit sans les formats ICNS/JXL/HEIF vises. Backport sur la ligne 0.83.x le 2026-08-19 — pas besoin du bump de SDK Expo anticipe. 9 HIGH -> 1 HIGH.
 - 2026-07-27 : #68 merged (PR #101) — Feedback Hub integre (bouton Reglages > A propos, POST feedback.lacompagniemaximus.com app_id simpl-liste, opt-in contexte + identite Loi 25 ; client sans dependance teste via node:test).
 - 2026-05-30 : #90 merged (PR #93, ThemeToggle eslint-disable) + premier deploy web depuis 7 sem (rsync source/ + docker compose --build sur VPS) — #70 et #90 live sur liste.lacompagniemaximus.com.
 - 2026-05-30 : PR #89 merged — display name web resolu via userInfo (ordre fallback de la vitrine), fix #70.
@@ -22,9 +36,9 @@ Coolify malgre la spec). Procedure en memoire `simpl-liste-web-deploy`.
 - 2026-05-10 : Aligne 6 patches Expo SDK 54 via expo install --fix — expo-doctor 17/17 (ref #87)
 - 2026-05-08 : Defenseur rerun confirme 0 findings — overrides existants suffisent, pas de PR necessaire (ref #81)
 - 2026-04-24 : overrides xmldom + uuid (spec `spec-decisions-vuln-simpl-liste.md`) — PRs #77, #78, #79 (pending-human).
-- 2026-04-23 : PR #71 merged — fix widget render-optimiste + timing instrumentation.
-- 2026-04-18 : archive milestone `spec-simpl-liste-web` (12/12 done).
 
 ## Blockers actifs
 
 Aucun.
+
+PR #116 (#115, browserslist) est en attente de review — c'est le seul travail en vol.