5 Commits

Include renames

Author	SHA1	Message	Date
devops	0c1076eda0	fix(commerce-backend): remediar 3/5 CVE CRITICAL, documentar excepcion para 2 ... Run 138 de build-medusa.yaml encontro 5 CVE CRITICAL reales (no falsos positivos) al escanear la imagen con Trivy: Remediados en el Dockerfile (verificado localmente con Trivy real, exit 0): - CVE-2026-33845 / CVE-2026-42010 (libgnutls30, base Debian): apt upgrade puntual del paquete. - CVE-2026-59873 (tar vendorizado dentro del npm CLI global de la imagen base node:*-slim): se elimina /usr/local/lib/node_modules/npm completo -- no es una dependencia real del proyecto (el CMD nunca invoca npm en runtime), asi que no hay nada que "actualizar". Documentados como excepcion en workloads/commerce-backend/.trivyignore (con --ignorefile solo en este workflow, no afecta a build.yaml ni deploy-docs.yaml): - CVE-2024-24790 / CVE-2025-68121 (Go stdlib embebido en el binario de esbuild que trae [email protected], dependencia interna de @medusajs/admin-sdk). Se probo el fix real (override de esbuild a una version mas nueva) y rompio el build del admin panel -- [email protected] fija "esbuild: ^0.21.3" como dependencia directa, y esbuild >=0.24 cambio el manejo de targets de transpilacion que vite 5 espera. No existe un patch dentro de la serie 0.21.x con un Go toolchain mas nuevo. Requiere subir @medusajs/admin-sdk/vite en un cambio aparte, fuera de alcance de este pipeline de seguridad.	2026-08-15 13:49:51 -05:00
devops	81f01c7ade	fix(devsecops): timeout de 15m en Trivy imagen para commerce-backend ... El run 136 (primer intento de este pipeline, recien mergeado a main) fallo en el paso "Escanear imagen (Trivy) - CRITICAL bloquea" con "context deadline exceeded" a los 4m52s -- no una CVE, un timeout de herramienta. Causa: el default de Trivy (5m) no alcanza para escanear (vuln + secret scan de la imagen completa) el node_modules de Medusa v2, mas pesado que el del frontend. Se agrega --timeout 15m0s a ambos escaneos de imagen (CRITICAL y HIGH).	2026-08-15 13:09:47 -05:00
devops	8b49ac2bc5	feat(devsecops): replicar pipeline de seguridad a commerce-backend ... Agrega a build-medusa.yaml las mismas 6 etapas ya validadas en build.yaml (run 134, frontend): Gitleaks, Trivy IaC, Semgrep (SAST), Trivy imagen, Syft (SBOM) y Cosign (firma + verificación). Ruleset de Semgrep adaptado: p/typescript + p/security-audit + p/owasp-top-ten, sin p/react/p/nextjs -- commerce-backend es la API de Medusa v2 (Node/TypeScript), no una app con SSR. Mismos umbrales que el frontend: Trivy bloquea en CRITICAL, Semgrep en modo auditoría (no bloquea todavía). Reutiliza el mismo par de llaves Cosign del frontend (secrets ya existentes a nivel de repo); se agrega workloads/commerce-backend/cosign.pub con la misma llave pública para que la verificación quede local a este workflow.	2026-08-15 12:46:45 -05:00
devops	7939dc492c	fix(ci): stabilize Medusa dependency installation	2026-08-01 02:21:44 -05:00
devops	aa857bc2ae	fase 1	2026-07-31 23:27:01 -05:00