diff --git a/STATE.md b/STATE.md
index 6da65b8..a34235f 100644
--- a/STATE.md
+++ b/STATE.md
@@ -1,18 +1,16 @@
 # STATE — simpl-liste
 
-> Derniere MAJ : 2026-09-25 (par fix-issue #117)
+> Derniere MAJ : 2026-09-25 (par fix-issue #121)
 
 ## Position actuelle
 
-Version 1.6.6 (versionCode 18). Remediation securite en continu via overrides.
-Apres #117 (PR #119, 2026-09-25), `npm audit` = 6 findings : **2 HIGH** (`@xmldom/xmldom`
-<=0.8.14 et `js-yaml` 3.15.1 / 4.3.1, advisories publiees apres les planchers poses
-en avril/septembre — pas encore d'issue), 3 moderate (chaine `expo-router` ->
-`query-string@7` -> `decode-uri-component`, #120 bloquee sur un bump de SDK), 1 low
+Version 1.6.6 (versionCode 18). **Zero HIGH/critical** apres #117 (PR #119) et #121
+(PR #122), 2026-09-25 : `npm audit` = 4 findings, 3 moderate (chaine `expo-router` ->
+`query-string@7` -> `decode-uri-component`, #120 bloquee sur un bump de SDK) et 1 low
 (`postcss-selector-parser`).
 
 La remediation passe par des overrides de plancher dans `package.json` :
-`esbuild`, `@xmldom/xmldom`, `uuid`, `postcss`, `js-yaml`, `brace-expansion`,
+`esbuild`, `@xmldom/xmldom@^0.8.15`, `uuid`, `postcss`, `js-yaml` (3.15.2 / 4.3.2), `brace-expansion`,
 `@babel/core`, `browserslist@^4.28.7`, `@react-navigation/core@^7.22.1`, et les 14
 paquets `metro@^0.83.8`. Le smoke test verrouille la chaine de build (presets Expo
 hoistes a la racine, un seul SDK Expo, metro 0.83.x partout).
@@ -31,6 +29,7 @@ Coolify malgre la spec). Procedure en memoire `simpl-liste-web-deploy`.
 
 ## Decisions recentes
 
+- 2026-09-25 : #121 fermee (PR #122 merged) — planchers `@xmldom/xmldom@^0.8.15` et `js-yaml` ^3.15.2 / ^4.3.2 (advisories HIGH du 2026-09-08, outillage de build seulement, hash du bundle Hermes inchange). Le Defenseur ne les avait pas signalees : hypothese de dedup par paquet contre issues fermees -> agent-defenseurs#139.
 - 2026-09-25 : #117 fermee (PR #119 merged) — override `@react-navigation/core@^7.22.1`, qui ne depend plus de `query-string` (GHSA-vcc3-ghjq-m6fr). Lock : 2 entrees. PR #118 du Defenseur fermee : son `npm audit fix` global desinstallait `babel-preset-expo`/`@expo/metro-config` de la racine et nichait un Expo 57 (build casse, tests verts). Gardes de toolchain ajoutees au smoke test. Residu `expo-router` -> #120.
 - 2026-09-04 : #115 ouverte + PR #116 — `browserslist@^4.28.7` (2 advisories HIGH publiees le 2026-09-01, `first_patched_version = 4.28.7`). Resout en 4.28.9, derniere HIGH de l'arbre. Bundle Hermes au hash identique avant/apres : cibles de compilation inchangees.
 - 2026-09-04 : #112 fermee doublon de #108 ; PR #113 fermee sans merge (son diff ne contenait aucune occurrence d'`image-size` — 633/584 de churn de lockfile sans rapport).
@@ -40,7 +39,6 @@ Coolify malgre la spec). Procedure en memoire `simpl-liste-web-deploy`.
 - 2026-05-30 : PR #89 merged — display name web resolu via userInfo (ordre fallback de la vitrine), fix #70.
 - 2026-05-30 : nettoyage lint web/ (PR #91, 2 prefer-const + import inutilise) ; #90 analyse (ThemeToggle set-state-in-effect, decision : eslint-disable documente).
 - 2026-05-10 : Aligne 6 patches Expo SDK 54 via expo install --fix — expo-doctor 17/17 (ref #87)
-- 2026-05-08 : Defenseur rerun confirme 0 findings — overrides existants suffisent, pas de PR necessaire (ref #81)
 
 ## Blockers actifs