From a2b1c18ee37500f954114d47fb6c40914fd53cd8 Mon Sep 17 00:00:00 2001
From: Richard <bergmann.richard@fastmail.de>
Date: Thu, 6 Aug 2026 17:42:24 +0200
Subject: [PATCH] Umstieg auf .NET 10 + transitive Newtonsoft-Luecke
 geschlossen

Alle sieben Projekte auf net10.0 (App: net10.0-windows). Runtime 10.0.10 ist
installiert, 442 Tests gruen, Linux-Publish aller Nicht-App-Projekte laeuft.

EF Core 8 / Pomelo 8 bleiben bewusst stehen: net10.0 konsumiert net8.0-Bibliotheken
problemlos, und ein Provider-Wechsel hat wegen der Migrations-Implikationen eine
eigene Risikoflaeche - das gehoert in einen separaten, verifizierten Durchgang.

Sicherheitsfund nebenbei: Ab .NET 9 prueft NuGet standardmaessig auch transitive
Pakete. Damit wurde sichtbar, dass Nethereum 6.1.0 Newtonsoft.Json [11.0.2, 14.0.0)
zulaesst und ohne Pinnung auf 11.0.2 aufloest - bekannte Luecke hoher Schwere
(GHSA-5crp-9r3c-p9vr). Die App pinnte laengst 13.0.4, Core und Module nicht.
Jetzt im Core gepinnt, damit jeder Consumer sie bekommt (auch der kuenftige
Linux-Daemon). Danach 0 NU1903-Warnungen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
---
 PolyTrader.App.csproj                                    | 4 ++--
 src/PolyTrader.Core/PolyTrader.Core.csproj               | 9 ++++++++-
 .../PolyTrader.Modules.Accounting.csproj                 | 2 +-
 .../PolyTrader.Modules.CopyTrading.csproj                | 2 +-
 .../PolyTrader.Modules.ResolutionFarming.csproj          | 2 +-
 .../PolyTrader.Modules.Supervisor.csproj                 | 2 +-
 tests/PolyTrader.Tests/PolyTrader.Tests.csproj           | 2 +-
 7 files changed, 15 insertions(+), 8 deletions(-)

diff --git a/PolyTrader.App.csproj b/PolyTrader.App.csproj
index 79e1528..458fd91 100644
--- a/PolyTrader.App.csproj
+++ b/PolyTrader.App.csproj
@@ -1,7 +1,7 @@
-<Project Sdk="Microsoft.NET.Sdk">
+<Project Sdk="Microsoft.NET.Sdk">
 
   <PropertyGroup>
-    <TargetFramework>net8.0-windows7.0</TargetFramework>
+    <TargetFramework>net10.0-windows</TargetFramework>
     <Nullable>enable</Nullable>
     <ImplicitUsings>enable</ImplicitUsings>
     <ApplicationIcon>favicon.ico</ApplicationIcon>
diff --git a/src/PolyTrader.Core/PolyTrader.Core.csproj b/src/PolyTrader.Core/PolyTrader.Core.csproj
index 13d41e7..a1ec061 100644
--- a/src/PolyTrader.Core/PolyTrader.Core.csproj
+++ b/src/PolyTrader.Core/PolyTrader.Core.csproj
@@ -5,7 +5,7 @@
          ist toolkit-neutral (Func<object> statt Func<Form>, IconKey statt System.Drawing.Image),
          damit hier weder WinForms noch System.Drawing.Common hängen – letzteres ist seit .NET 7
          Windows-only und wirft auf Linux. Die WinForms-Umsetzung liegt in PolyTrader.App (Ui/). -->
-    <TargetFramework>net8.0</TargetFramework>
+    <TargetFramework>net10.0</TargetFramework>
     <ImplicitUsings>enable</ImplicitUsings>
     <Nullable>enable</Nullable>
   </PropertyGroup>
@@ -20,6 +20,13 @@
     <PackageReference Include="Microsoft.Extensions.Configuration.Abstractions" Version="8.0.0" />
     <PackageReference Include="Microsoft.Extensions.Hosting.Abstractions" Version="8.0.0" />
     <PackageReference Include="Nethereum.Web3" Version="6.1.0" />
+    <!-- Sicherheit: Nethereum 6.1.0 laesst transitiv Newtonsoft.Json [11.0.2, 14.0.0) zu und
+         wuerde ohne Pinnung auf 11.0.2 aufloesen - das hat eine bekannte Luecke hoher Schwere
+         (GHSA-5crp-9r3c-p9vr). Die .NET-10-Paketpruefung meldet das jetzt auch fuer transitive
+         Abhaengigkeiten. 13.0.4 liegt im erlaubten Bereich und ist die Version, die auch die App
+         schon nutzt. Hier im Core gepinnt, damit JEDER Consumer (Module, kuenftiger Linux-Daemon)
+         sie bekommt und nicht nur die WinForms-App. -->
+    <PackageReference Include="Newtonsoft.Json" Version="13.0.4" />
   </ItemGroup>
 
   <!-- Erlaubt dem Testprojekt, interne Helfer (z.B. SecretProtection.Reset) zu testen. -->
diff --git a/src/PolyTrader.Modules.Accounting/PolyTrader.Modules.Accounting.csproj b/src/PolyTrader.Modules.Accounting/PolyTrader.Modules.Accounting.csproj
index c5d7c71..9f8185e 100644
--- a/src/PolyTrader.Modules.Accounting/PolyTrader.Modules.Accounting.csproj
+++ b/src/PolyTrader.Modules.Accounting/PolyTrader.Modules.Accounting.csproj
@@ -27,7 +27,7 @@
     <!-- Linux-Portierung: plattformneutral. Die WinForms-UI dieses Moduls (Ingest, BWA, Export)
          wurde entfernt; die Avalonia-Ansicht kommt spaeter direkt hierher zurueck – Avalonia ist
          im Gegensatz zu WinForms plattformuebergreifend und braucht kein eigenes UI-Projekt. -->
-    <TargetFramework>net8.0</TargetFramework>
+    <TargetFramework>net10.0</TargetFramework>
     <ImplicitUsings>enable</ImplicitUsings>
     <Nullable>enable</Nullable>
   </PropertyGroup>
diff --git a/src/PolyTrader.Modules.CopyTrading/PolyTrader.Modules.CopyTrading.csproj b/src/PolyTrader.Modules.CopyTrading/PolyTrader.Modules.CopyTrading.csproj
index ed8bb23..386e511 100644
--- a/src/PolyTrader.Modules.CopyTrading/PolyTrader.Modules.CopyTrading.csproj
+++ b/src/PolyTrader.Modules.CopyTrading/PolyTrader.Modules.CopyTrading.csproj
@@ -23,7 +23,7 @@
     <!-- Linux-Portierung: plattformneutral. Die WinForms-UI dieses Moduls (Trading-Engine, SELL-Leiter, Master-Trader-Analytics)
          wurde entfernt; die Avalonia-Ansicht kommt spaeter direkt hierher zurueck – Avalonia ist
          im Gegensatz zu WinForms plattformuebergreifend und braucht kein eigenes UI-Projekt. -->
-    <TargetFramework>net8.0</TargetFramework>
+    <TargetFramework>net10.0</TargetFramework>
     <ImplicitUsings>enable</ImplicitUsings>
     <Nullable>enable</Nullable>
   </PropertyGroup>
diff --git a/src/PolyTrader.Modules.ResolutionFarming/PolyTrader.Modules.ResolutionFarming.csproj b/src/PolyTrader.Modules.ResolutionFarming/PolyTrader.Modules.ResolutionFarming.csproj
index b951b08..77c509d 100644
--- a/src/PolyTrader.Modules.ResolutionFarming/PolyTrader.Modules.ResolutionFarming.csproj
+++ b/src/PolyTrader.Modules.ResolutionFarming/PolyTrader.Modules.ResolutionFarming.csproj
@@ -23,7 +23,7 @@
     <!-- Linux-Portierung: plattformneutral. Die WinForms-UI dieses Moduls (Scanner und Ausfuehrung)
          wurde entfernt; die Avalonia-Ansicht kommt spaeter direkt hierher zurueck – Avalonia ist
          im Gegensatz zu WinForms plattformuebergreifend und braucht kein eigenes UI-Projekt. -->
-    <TargetFramework>net8.0</TargetFramework>
+    <TargetFramework>net10.0</TargetFramework>
     <ImplicitUsings>enable</ImplicitUsings>
     <Nullable>enable</Nullable>
   </PropertyGroup>
diff --git a/src/PolyTrader.Modules.Supervisor/PolyTrader.Modules.Supervisor.csproj b/src/PolyTrader.Modules.Supervisor/PolyTrader.Modules.Supervisor.csproj
index 7281d6f..83c595f 100644
--- a/src/PolyTrader.Modules.Supervisor/PolyTrader.Modules.Supervisor.csproj
+++ b/src/PolyTrader.Modules.Supervisor/PolyTrader.Modules.Supervisor.csproj
@@ -28,7 +28,7 @@
     <!-- Linux-Portierung: plattformneutral. Die WinForms-UI dieses Moduls (KI-Analyse, Dossiers, MCP-Light)
          wurde entfernt; die Avalonia-Ansicht kommt spaeter direkt hierher zurueck – Avalonia ist
          im Gegensatz zu WinForms plattformuebergreifend und braucht kein eigenes UI-Projekt. -->
-    <TargetFramework>net8.0</TargetFramework>
+    <TargetFramework>net10.0</TargetFramework>
     <ImplicitUsings>enable</ImplicitUsings>
     <Nullable>enable</Nullable>
   </PropertyGroup>
diff --git a/tests/PolyTrader.Tests/PolyTrader.Tests.csproj b/tests/PolyTrader.Tests/PolyTrader.Tests.csproj
index 7d13d7d..7cf528e 100644
--- a/tests/PolyTrader.Tests/PolyTrader.Tests.csproj
+++ b/tests/PolyTrader.Tests/PolyTrader.Tests.csproj
@@ -1,7 +1,7 @@
 <Project Sdk="Microsoft.NET.Sdk">
 
   <PropertyGroup>
-    <TargetFramework>net8.0</TargetFramework>
+    <TargetFramework>net10.0</TargetFramework>
     <Nullable>enable</Nullable>
     <ImplicitUsings>enable</ImplicitUsings>
     <IsPackable>false</IsPackable>