Dependabot не читает bun.lock и пропускает транзитивные зависимости

GitHub Dependabot не разбирает файлы bun.lock, поэтому в проектах на Bun не отслеживаются транзитивные зависимости и не приходят оповещения об уязвимостях. В тесте bun audit нашёл три уязвимости, а Dependabot выдал только одну. Временное решение — вручную передавать lockfile через API отправки зависимостей.

• Dependabot откатывается к package.json и видит только прямые зависимости
• Зависимости с синтаксисом catalog: записываются как строки и не связываются с рекомендациями
• В тесте bun audit нашёл 3 уязвимости, Dependabot — только 1
• Обходной путь — отправка bun.lock через API отправки зависимостей GitHub