chore(deps): bump the react group across 1 directory with 2 updates

[dependabot]

Bumps the react group with 2 updates in the / directory: react and react-dom.

Updates react from 19.2.4 to 19.2.5

Release notes

Sourced from react's releases.

19.2.5 (April 8th, 2026)

React Server Components

• Add more cycle protections (#36236 by @​eps1lon and @​unstubbable)

Commits

• 23f4f9f 19.2.5
• See full diff in compare view

Updates react-dom from 19.2.4 to 19.2.5

Release notes

Sourced from react-dom's releases.

19.2.5 (April 8th, 2026)

React Server Components

• Add more cycle protections (#36236 by @​eps1lon and @​unstubbable)

Commits

• 23f4f9f 19.2.5
• See full diff in compare view

[dependabot]

Labels

The following labels could not be found: npm. Please create it before Dependabot can add it to a pull request.

Please fix the above issues or remove invalid values from dependabot.yml.

[genzouw]

Pull Request レビューサマリー

✅ 全体評価

React 19.2.4 → 19.2.5 へのパッチバージョン更新です。React Server Components の cycle protection 強化（#36236）を取り込むだけの後方互換性のある修正で、API 変更や破壊的変更は含まれません。

変更は package.json と package-lock.json のみで、CI の全 6 チェックがパス。レビュー観点（機能性・セキュリティ・パフォーマンス・後方互換性・依存関係）すべて確認しましたが、ブロックすべき問題は見つかりませんでした。

📋 レビュー実施内容

• ✅ 機能性・ロジックレビュー（パッチバージョンのため挙動変更なし）
• ✅ セキュリティ脆弱性評価（既知の脆弱性なし。React 公式リリースノートにもセキュリティ修正の記載なし）
• ✅ パフォーマンス・効率性（影響なし）
• ✅ 後方互換性（19.x 系内のパッチアップデート、SemVer 準拠）
• ✅ 依存関係の整合性
  • react と react-dom が同一マイナーバージョンに揃っている
  • react-dom の peerDependencies.react も ^19.2.5 に正しく更新されている
  • 推移依存（scheduler 等）は据え置きで問題なし
• ✅ コード標準・スタイル一貫性（自動生成のため対象外）
• ✅ アーキテクチャ・設計パターン準拠（影響なし）
• ✅ テストカバレッジ（既存テストでリグレッション検知できる範囲）

✨ 良かった点

• .github/dependabot.yml の groups.react 設定により、react と react-dom が 1 本の PR に正しくバンドルされています。本来別々に飛んでくるはずの 2 つの更新を 1 PR で扱えるのは、レビュアー負担の軽減にもバージョン不整合の予防にも効いていて、グルーピング設計が適切に機能していることが確認できました。
• package-lock.json の integrity ハッシュも含めて整合的に更新されており、サプライチェーンの観点でも安全に取り込めます。
• CI（lint / format / typecheck / test / build / coverage）が全て緑で、パッチアップデートに対するセーフティネットがしっかり機能しています。

💡 推奨事項（このPRのブロッカーではありません）

このPR内ではなく、リポジトリ設定側の補足として 1 点。

PRコメントに Dependabot から以下の警告が出ています：

The following labels could not be found: npm. Please create it before Dependabot can add it to a pull request.

.github/dependabot.yml で labels: [dependencies, npm] を指定していますが、リポジトリには npm ラベルが存在しません（既存の関連ラベルは javascript と dependencies）。今後の Dependabot PR でも同じ警告が継続して出続けるため、別 PR で以下のいずれかの対応をしておくと運用がクリーンになると考えています：

1. リポジトリに npm ラベルを新規作成する
2. .github/dependabot.yml の labels から npm を削除し、既存の javascript に置き換える（または dependencies のみにする）

個人的には選択肢 2（dependencies のみに整理、または javascript への置換）の方が、Actions 用 PR の dependencies ラベルとの粒度が揃って好みです。

🎯 承認

パッチアップデートとして安全な内容で、CI も問題なくパスしているためマージ可とします。

---

Dependabot からの定例アップデートですが、グループ化設定が効いて react と react-dom がきれいに 1 本にまとまっており、運用設計の良さが現れている PR でした。マージ後の挙動も問題ないと考えています。