fix(deps): Next.js 16.4.2 wegen zweier kritischer Luecken

Fuer Next.js 16.0.0 bis 16.4.0 wurden drei Luecken gemeldet:

- KRITISCH: Remote Code Execution ueber die Bildoptimierung mit SVG-Dateien
  (GHSA-2464-fhr4-w9xw)
- KRITISCH: Remote Code Execution in `use cache` (GHSA-673q-mjm6-r5xr)
- HOCH: Blockade des Dienstes ueber Server Actions (GHSA-p3m5-59mp-jv5r)

Geprueft, was ProxLedger davon trifft: next/image und `use cache` werden
nicht genutzt, Server Actions dagegen ueberall - die Blockade war also
unmittelbar wirksam. Wer oeffentlich erreichbar ist, sollte sofort
aktualisieren.

Tests, Typen, Lint und Build gruen, npm audit ohne Befund.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

DEVLOG.md

@@ -73,7 +73,7 @@
 
 ## 2026-09-17 · Sitzung 1 · 19:36–laufend
 **Issue:** #001–#007 (Meilensteine v0.1.0 bis v0.4.0)
-**Version:** 0.27.0
+**Version:** 0.27.1
 
 ### Erledigt
 - Auftrag gelesen, Rückfragen gestellt
@@ -232,6 +232,11 @@
 - Wiederherstellung geprobt (#045): Daten zerstört, zurückgespielt, geprüft. Zwei Lücken kamen erst dabei heraus – ohne `--clean` ließ sich nur in eine leere Datenbank zurückspielen, und für die PDFs gab es gar keinen Weg
 - Damit ist einer der vier Punkte bis 1.0.0 erledigt. Offen bleiben PMG, PBS mit Lizenz und ein vollständiger Lizenzjahr-Durchlauf (17.10.)
 
+### 23.10.2026 – Wartungsblick
+- `npm audit`: drei neue Meldungen zu Next.js ≤ 16.4.0, zwei davon kritisch (RCE über Bildoptimierung und `use cache`, dazu eine Blockade über Server Actions). Auf 16.4.2 angehoben, alles grün
+- Geprüft, was davon ProxLedger trifft: `next/image` und `use cache` werden nicht genutzt, Server Actions dagegen überall – die Blockade war also echt
+- Erinnerung an mich: Zwei Wartungsblicke in Folge haben hohe bis kritische Meldungen gefunden. Der wöchentliche Lauf in der CI ist überfällig
+
 ### Nächster Schritt
 - #016 Benutzerhandbuch mit Screenshots, danach #017 Favicons und #019 CI-Pipeline
 - Für 1.0.0 fehlt noch: PMG (kein Host verfügbar) und der Fall „aktive Subscription auf PBS“ (#023)