Mise a jour des dependances vulnerables (CVE)

Core : Spring Boot 3.2.12 (EOL) -> 3.5.14 (Tomcat 10.1.54, Spring 6.2.18,
Security 6.5.10, Netty 4.1.132), nimbus-jose-jwt 9.40 -> 10.9.1
(CVE-2025-53864), tink 1.14.1 -> 1.21.0 (protobuf CVE-2024-7254),
bcprov 1.78.1 -> 1.84, minio 8.5.11 -> 8.6.0 (okhttp -> okhttp-jvm 5.1.0),
commons-lang3 force a 3.20.0 (CVE-2025-48924).

Brain : pin explicite starlette>=0.49.1 (CVE-2025-54121, CVE-2025-62727) —
fastapi n'exige que >=0.46, le commentaire precedent etait une fausse garantie.

Verifie : 507 tests verts + JaCoCo.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

brain/requirements.txt

@@ -1,4 +1,8 @@
-fastapi==0.115.*
+fastapi==0.136.*
+# Pin EXPLICITE : fastapi n'exige que starlette>=0.46.0 — sans ce pin, un
+# environnement existant peut garder une starlette vulnérable.
+# >= 0.49.1 : corrige CVE-2025-54121 et CVE-2025-62727.
+starlette>=0.49.1,<1.0
 uvicorn[standard]==0.32.*
 httpx==0.27.*
 pydantic-settings==2.6.*
@@ -20,4 +24,6 @@ tiktoken==0.8.*
 #     (le binaire tesseract-ocr est installe dans le Dockerfile, langues fra+eng)
 pymupdf==1.24.*
 pytesseract==0.3.*
-Pillow==11.*
+# 12.2+ : corrige 6 CVE de parsing d'images (surface critique : pages de PDF
+# uploadés par l'utilisateur rasterisées puis passées à l'OCR).
+Pillow==12.2.*