diff --git a/.task/feature-duplication-lesson-records.md b/.task/feature-duplication-lesson-records.md
index 837c1432..6e4925a2 100644
--- a/.task/feature-duplication-lesson-records.md
+++ b/.task/feature-duplication-lesson-records.md
@@ -49,3 +49,4 @@
 | 同步前验收 | ab3cae07b5854ee71c9dd36b226cabd0f778d48d | c5ed9444a6f6b3ae9be9336c360a1d09204d9491 | 2026-09-30T16:06:01Z |
 | 同步前验收 | a612361b98879f4679cab503035e2111c593bf9b | 290b9bbd26077ae4320783d3b24b6cef0c2e6e05 | 2026-09-30T16:38:22Z |
 | 同步前验收 | 0b0540e2d251ed6bee77e63fb1ed174dda3ddd41 | 888aa9471c0a6f6917eef1d4801e87b5c411cf6a | 2026-09-30T16:47:54Z |
+| 同步前验收 | 9f2a7fb4b806bb63f43c3ee759bdbb1ab1f97720 | 21a92441dce7787b8c3eaeaf731aad9a58215836 | 2026-09-30T16:49:57Z |
diff --git a/.task/fix-dep-vuln-bumps.md b/.task/fix-dep-vuln-bumps.md
new file mode 100644
index 00000000..81970184
--- /dev/null
+++ b/.task/fix-dep-vuln-bumps.md
@@ -0,0 +1,38 @@
+# fix/dep-vuln-bumps 任务卡
+
+任务主记录：<PR 链接，task-finish 时填写>；状态：进行中；owner：weichen
+
+## 基线与授权
+
+- 权威仓：ssh://git@git-ssh.u1680832.nyat.app:31411/weichen/Agent-System-Dev.git；目标分支：main；R0（initial_base_sha）= 0b0540e2d251ed6bee77e63fb1ed174dda3ddd41
+- 工作区：/home/weichen/projects/Agent-System-Dev-wt-fix-dep-vuln-bumps（worktree）；分支：fix/dep-vuln-bumps
+- 授权与交付终点：落地依赖 CVE 清单中所有可达/可修项——backend 升 pgx 与 x/text、frontend/ui 升 vitest，并经组合验证后钉入三个 gitlink；终点为四个子仓 PR + Dev gitlink PR 全部合入后回收 worktree。
+- 权威依据：2026-09-30 govulncheck（backend 2 条可达：GO-2026-5004、GO-2026-5970）与 npm audit（frontend/ui 各 2 条 moderate：GHSA-82fw-gwwq-j7x9）。
+
+## 目标与非目标
+
+- 目标：backend `golang.org/x/text v0.24.0→v0.39.0`、`github.com/jackc/pgx/v5 v5.7.6→v5.9.2`（两条可达漏洞归零）；frontend/ui `vitest`+`@vitest/mocker` →`4.1.11`（GHSA-82fw-gwwq-j7x9 修复首版）；Dev 钉入三仓新 main。
+- 非目标：不处理 govulncheck 报的 20 条 module 级不可达项与 2 条 import 级不可达项（信息性，工具确认代码未调用）；不升 vitest 到 5.x（保守取修复边界版）。
+- <本次允许的动作与终点；未授权事项写明>
+
+## 目标与非目标
+
+<预期结果、受影响入口/模块/契约；明确不做什么。>
+
+## 同步记录
+
+| 节点 | sync_base_sha | tested_head_sha | checked_at |
+|---|---|---|---|
+| 启动 | 0b0540e2d251ed6bee77e63fb1ed174dda3ddd41 | 0b0540e2d251ed6bee77e63fb1ed174dda3ddd41 | 2026-09-30T16:43:31Z |
+
+## 结果与验证（完成后填写）
+
+- 结果：
+- 验证：
+- 影响与剩余项：
+
+## 结果与验证
+
+- 结果：backend PR #23（260dcc2，main=41cebd3）、frontend PR #19（a61bd70，main=af03854）、ui PR #18（780cc11，main=daf73be）全部合入；Dev 钉入三 gitlink。
+- 验证：backend `go build`+`go test -count=1 ./...` 绿且 govulncheck 复核"affected by 0 vulnerabilities"（原 2）；frontend/ui `npm audit` "found 0 vulnerabilities"（原各 2），vitest 套件 33/33 与 37/37 绿（ui 曾被管道截断摘要，已单独补验 exit 0）；Dev `make test` 全链 exit 0。
+- 影响与剩余项：均为依赖版本升级（backend 生产依赖 2 个、前端 devDependency 1 个）；剩余项为 20 条不可达 module 级通告（信息性，随 routine 升级自然消化），无阻断项。
diff --git a/modules/backend b/modules/backend
index f98dc1dd..41cebd3b 160000
--- a/modules/backend
+++ b/modules/backend
@@ -1 +1 @@
-Subproject commit f98dc1ddd4ab82f915e949c47f5ab35c49c78ac6
+Subproject commit 41cebd3b65e539d74b6d0cd4122b80657688642e
diff --git a/modules/frontend b/modules/frontend
index b067b579..af038545 160000
--- a/modules/frontend
+++ b/modules/frontend
@@ -1 +1 @@
-Subproject commit b067b5797501747bc80a8ee963ddfd01cdfca191
+Subproject commit af0385451a32f15e2b71c7a762ed863bad6545b7
diff --git a/modules/ui b/modules/ui
index 1d7c235e..daf73be2 160000
--- a/modules/ui
+++ b/modules/ui
@@ -1 +1 @@
-Subproject commit 1d7c235ec5d99453279e0d20db258ecd0545f4ec
+Subproject commit daf73be2868b0531217f4bf41687282a19dcff45