# Versionsprüfung 0.2.9

Prüfdatum: 2026-08-26

| Komponente | Vorher | Neueste stabile Version | Entscheidung | Begründung |
| --- | --- | --- | --- | --- |
| Gradle | 9.5.0 | 9.7.1 | aktualisiert | Aktuelle stabile Distribution mit hinterlegter offizieller SHA-256-Prüfsumme. |
| Kotlin | 2.4.10 | 2.4.10 | beibehalten | Zum Prüftag aktuelle stabile Veröffentlichung. |
| Kotlin Coroutines | 1.9.0 | 1.11.0 | aktualisiert | Stabile Aktualisierung; vollständiger Testlauf erforderlich. |
| Compose Multiplatform | 1.11.1 | 1.12.0 | aktualisiert | Vom maschinellen Release-Report als stabile Aktualisierung erkannt. |
| Mapsforge | 0.29.0 | 0.29.0 | beibehalten | Aktuelle Veröffentlichung; lokale Writer-JARs bleiben hash-verifiziert. |
| Osmosis | 0.49.2 | 0.49.2 | beibehalten | Aktuelle Veröffentlichung; Projekt befindet sich im eingeschränkten Wartungsmodus. |
| OSM Binary | 1.5.0 | 1.6.1 | aktualisiert | Als direkte Laufzeitabhängigkeit festgelegt; ersetzt die ältere transitive Osmosis-Version nach erfolgreichem Test. |
| CycloneDX Gradle Plugin | - | 3.4.1 | hinzugefügt | Erzeugt aggregierte CycloneDX-SBOMs für das Multi-Projekt. |
| Gradle Versions Plugin | - | 0.61.0 | hinzugefügt | Liefert den maschinenlesbaren Aktualisierungsbericht. |
| OSV-Scanner | - | 2.5.0 | hinzugefügt | CVE-/Advisory-Prüfung der erzeugten SBOMs. |
| Microsoft OpenJDK | 25.0.4.1 | 25.0.4.1 LTS | beibehalten | Installierte aktuelle LTS-Aktualisierung. |
| Android Studio | 2026.1.3 | 2026.1.3 Patch 1 | Aktualisierung prüfen | Installierter Produkt-Build wird in `toolchain.json` erfasst; Patchstand in der IDE verifizieren. |

Vorabversionen von Kotlin, Material3 und Compose Hot Reload wurden bewusst nicht als Release-Updates übernommen. Offizielle Quellen sind in `security/toolchain-baseline.yml` hinterlegt. Der erzeugte `dependency-updates.json` ist vor Freigabe zusätzlich auf stabile, kompatible Updates zu prüfen.

Der Bericht zeigt außerdem `kotlin-build-tools-impl` 2.4.0 in einer internen ABI-Validierungs-Konfiguration. Diese Version wird nicht direkt deklariert; die ausgelieferte Kotlin-Werkzeugkette und alle direkt steuerbaren Kotlin-Plugins verwenden 2.4.10. Daher erfolgt keine erzwungene Auflösung dieser internen Plugin-Komponente.

Die offiziellen Mapsforge-Writer-0.29.0-Fat-JARs enthalten feste Versionen von Guava, JAXB, SQLite JDBC und weiteren Hilfsbibliotheken. Der Bericht weist hierfür neuere Einzelversionen aus. Sie werden nicht unabhängig überschrieben, weil dies die intern gebündelten Klassen nicht ersetzen würde und zu doppelten beziehungsweise inkompatiblen Klassen führen könnte. Entscheidung: bis zu einem aktualisierten Mapsforge-Writer beibehalten, über `bundledRuntimeMetadata` in SBOM/CVE-Scan erfassen und bei jedem Release erneut bewerten. Der OSV-Scan 0.2.9 ergab für diese erfassten Versionen keine bekannten Schwachstellen.
