14-16 Mar 2026
Voltar ao catalogo

Dockerfile do frontend usa npm install sem --ci

INFRA-20
MediumAchado ConfirmadoDevOpsRodada 3

Descricao

Dockerfile usa npm install sem --ci, podendo instalar versoes diferentes das fixadas no lockfile.

Evidencia
`angular/Dockerfile` linha 6: `RUN npm install`.
Impacto Tecnico

npm install pode atualizar lockfile e instalar versoes com vulnerabilidades (supply chain).

Impacto de Negocio

Builds nao deterministicos e risco de supply chain attack.

Recomendacao

Substituir por RUN npm ci.

Arquivos Afetados

angular/Dockerfile
{
  "id": "INFRA-20",
  "title": "Dockerfile do frontend usa npm install sem --ci",
  "severity": "Medium",
  "type": "achado confirmado",
  "category": "devops",
  "description": "Dockerfile usa `npm install` sem `--ci`, podendo instalar versoes diferentes das fixadas no lockfile.",
  "evidence": "`angular/Dockerfile` linha 6: `RUN npm install`.",
  "technicalImpact": "`npm install` pode atualizar lockfile e instalar versoes com vulnerabilidades (supply chain).",
  "businessImpact": "Builds nao deterministicos e risco de supply chain attack.",
  "recommendation": "Substituir por `RUN npm ci`.",
  "files": [
    "angular/Dockerfile"
  ],
  "pass": 3
}