7 Commits

Include renames

Author	SHA1	Message	Date
devops	74ea0c624b	fix(commerce-backend): regresion real -- npx roto en produccion tras remediacion de CVE ... El fix de CVE-2026-59873 (rm -rf npm entero, mergeado en fix/devsecops-medusa-cve-remediation) rompio en produccion el init container "migrations" de workloads/ecommerce/commerce/medusa.yaml, que corria "npx medusa db:migrate" contra la misma imagen. Detectado revisando el estado real del cluster despues del deploy (kubectl get pods): medusa-deploy quedo atascado en Init:CrashLoopBackOff con "npx: executable file not found in $PATH". Se probo primero borrar solo el tar vendorizado dentro de npm (en vez de npm entero) para no tocar npx -- no alcanza: el propio npx depende de ese mismo tar internamente (pacote/arborist), asi que sigue roto igual ("Cannot find module 'tar'"), confirmado localmente. Fix real: mantener el rm -rf de npm completo (sin CVE), y cambiar el init container para invocar el CLI de Medusa directo con node, sin pasar por npx -- mismo patron que ya usa el CMD de runtime de esta misma imagen. Verificado localmente: build OK, "node .../cli/dist/index.js db:migrate --help" funciona sin npm/npx presentes, Trivy en exit 0.	2026-08-15 15:36:50 -05:00
devops	0c1076eda0	fix(commerce-backend): remediar 3/5 CVE CRITICAL, documentar excepcion para 2 ... Run 138 de build-medusa.yaml encontro 5 CVE CRITICAL reales (no falsos positivos) al escanear la imagen con Trivy: Remediados en el Dockerfile (verificado localmente con Trivy real, exit 0): - CVE-2026-33845 / CVE-2026-42010 (libgnutls30, base Debian): apt upgrade puntual del paquete. - CVE-2026-59873 (tar vendorizado dentro del npm CLI global de la imagen base node:*-slim): se elimina /usr/local/lib/node_modules/npm completo -- no es una dependencia real del proyecto (el CMD nunca invoca npm en runtime), asi que no hay nada que "actualizar". Documentados como excepcion en workloads/commerce-backend/.trivyignore (con --ignorefile solo en este workflow, no afecta a build.yaml ni deploy-docs.yaml): - CVE-2024-24790 / CVE-2025-68121 (Go stdlib embebido en el binario de esbuild que trae [email protected], dependencia interna de @medusajs/admin-sdk). Se probo el fix real (override de esbuild a una version mas nueva) y rompio el build del admin panel -- [email protected] fija "esbuild: ^0.21.3" como dependencia directa, y esbuild >=0.24 cambio el manejo de targets de transpilacion que vite 5 espera. No existe un patch dentro de la serie 0.21.x con un Go toolchain mas nuevo. Requiere subir @medusajs/admin-sdk/vite en un cambio aparte, fuera de alcance de este pipeline de seguridad.	2026-08-15 13:49:51 -05:00
devops	7529b5756e	Update workloads/commerce-backend/Dockerfile	2026-08-02 06:48:40 +00:00
devops	638d8328e4	Update workloads/commerce-backend/Dockerfile	2026-08-02 06:14:26 +00:00
devops	67f41ccdbb	fix(commerce): add TypeScript runtime for Medusa build	2026-08-01 02:32:05 -05:00
devops	7939dc492c	fix(ci): stabilize Medusa dependency installation	2026-08-01 02:21:44 -05:00
devops	aa857bc2ae	fase 1	2026-07-31 23:27:01 -05:00