cve fixes

Dockerfile

@@ -60,6 +60,29 @@ ARG APP_VERSION=dev
 ENV NODE_ENV=production
 ENV APP_VERSION=$APP_VERSION
 
+# ── Aanvalsoppervlak beperken ─────────────────────────────────────────────────
+# Twee stappen die samen elke CVE uit de imagescan wegnemen. Ze staan hier en
+# niet in een andere stage: alleen dit image gaat naar de registry.
+#
+# 1. OS-pakketten bijwerken. Het node-image wordt minder vaak herbouwd dan
+#    Alpine patches uitbrengt, dus libssl3 en libcrypto3 lopen er structureel
+#    op achter — goed voor twintig CVE's in de laatste scan. Dit haalt ze op
+#    het moment van bouwen alsnog bij.
+#
+# 2. De pakketbeheerders eruit. De container start met `node src/server.js` en
+#    gebruikt npm, npx, corepack of yarn nooit; ze zitten er alleen in omdat
+#    het base-image ze meelevert. Alle negentien Node-CVE's uit de scan zaten
+#    in npm's eigen meegeleverde dependencies (tar, pacote, sigstore,
+#    brace-expansion, picomatch, ip-address) en hadden niets met deze
+#    applicatie te maken. Weg met de tool is weg met die hele categorie —
+#    inclusief de volgende ronde, want ze komen steeds terug.
+RUN apk upgrade --no-cache \
+ && rm -rf /usr/local/lib/node_modules/npm \
+           /usr/local/lib/node_modules/corepack \
+           /usr/local/bin/npm /usr/local/bin/npx /usr/local/bin/corepack \
+           /usr/local/bin/yarn /usr/local/bin/yarnpkg \
+           /opt/yarn-v*
+
 RUN addgroup -S appgroup && adduser -S appuser -G appgroup
 WORKDIR /app