fix: semgrep 1.157.0 dans un venv isole du job security et plancher pyjwt 2.13 BUG-091

CHANGELOG.md

@@ -6,7 +6,7 @@ Format basé sur [Keep a Changelog](https://keepachangelog.com/fr/1.1.0/),
 et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
 > **En cours de développement** : les changements à venir sont listés dans la section
-> [Unreleased](#unreleased). La dernière version livrée est **2.39.2**.
+> [Unreleased](#unreleased). La dernière version livrée est **2.39.3**.
 
 ---
 
@@ -14,17 +14,28 @@ et [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
 ---
 
+## [2.39.3] — 2026-09-28
+
+---
+
 ## [2.39.2] — 2026-09-28
 
 ### Correction
 
-- **BUG-091 — le job CI `security` refusait de démarrer semgrep.** Le binaire
-  `semgrep` non épinglé s'est mis à jour vers la série 1.175+, dont les
-  bibliothèques natives sont compilées pour x86-64-v2 : le CPU du runner
-  Gitea les refuse (« CPU ISA level is lower than required », exit 127) et
-  le job échoue sans rapport avec le code analysé. `semgrep==1.174.0` est
-  désormais épinglé dans le job (dernière version exécutable sur ce
-  runner) ; bandit et pip-audit restent flottants.
+- **BUG-091 — le job CI `security` refusait de démarrer semgrep, puis
+  échouait à l'audit des dépendances.** Depuis 1.158.0, semgrep ne publie
+  plus que des wheels `manylinux_2_34`/`2_35` dont les bibliothèques
+  natives exigent un CPU x86-64-v2 : le runner Gitea les refuse (« CPU ISA
+  level is lower than required », exit 127). semgrep est désormais isolé
+  dans un venv jetable du job, épinglé à **1.157.0** (dernière publication
+  `manylinux2014`, baseline v1) — un venv, aussi, parce que ses
+  dépendances contredisent l'environnement principal (`tomli~=2.0.1` vs
+  pip-audit ≥ 2.10, `pyjwt~=2.12.0` vulnérable). Dans la foulée :
+  plancher `pyjwt[crypto]>=2.13.0` dans `backend/requirements.txt`
+  (PYSEC-2026-178, pyjwt est transitif de mcp) et mise à jour de
+  pip/setuptools dans le job (PYSEC-2026-3721 / PYSEC-2026-3447, apparus
+  récemment dans la base d'advisories). Validé en environnement frais :
+  résolution sans conflit, pip-audit et semgrep verts.
 
 ---