SecOps #452: [Sécurité] Vulnérabilité de code : server/Dockerfile:29 (dockerfile.security.missing-user.missing-user) - Scobby - Redmine

Actions

SecOps #452

open

CD

[Sécurité] Vulnérabilité de code : server/Dockerfile:29 (dockerfile.security.missing-user.missing-user)

SecOps #452: [Sécurité] Vulnérabilité de code : server/Dockerfile:29 (dockerfile.security.missing-user.missing-user)

Added by Client Dashboard about 2 months ago. Updated about 1 month ago.

Status:

Ready to ship

Priority:

Normal

Assignee:

-

Start date:

06/15/2026

Due date:

% Done:

0%

Estimated time:

spec_ref:

build_status:

build_number:

ci_run_url:

scan_status:

scan_report_url:

deploy_status:

deployed

preprod_url:

https://preprod-scobby.omdev.tech

deployed_at:

07/01/2026

branch:

fix/secops-dockerfile-nonroot

pr_url:

https://github.com/Scobby-organisation/scobby/pull/105

security_key:

server/Dockerfile:29_dockerfile.security.missing-user.missing-user

severity:

high

paused:

Description

**Sévérité** : HIGH
**Source** : Semgrep
`vuln-high`
**Emplacement** : server/Dockerfile:29
**Règle** : dockerfile.security.missing-user.missing-user

By not specifying a USER, a program in the container may run as 'root'. This is a security hazard. If an attacker can control a process running as root, they may have control over the container. Ensure that the last USER in a Dockerfile is a USER other than 'root'.

### Extrait de code
```
requires login
```

### Lien CVE
https://owasp.org/Top10/A04_2021-Insecure_Design

### Recommandations
USER non-root
CMD ["node", "dist/main.js"]

CD Updated by Client Dashboard about 2 months ago Actions
Copy link
#1

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 2 months ago Actions
Copy link
#2

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 2 months ago Actions
Copy link
#3

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 2 months ago Actions
Copy link
#4

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#5

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#6

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#7

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#8

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#9

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

RA Updated by Redmine Admin about 1 month ago Actions
Copy link
#10

**Reporté (analyse SecOps 2026-06-23)** — même sujet que #251 (Dockerfile runtime non-root). Le volume nommé `scobby_uploads:/data/uploads` (root) impose un entrypoint `gosu`+`chown` ou un chown hôte ponctuel avant de basculer `USER` non-root, sinon l'écriture des fichiers casse. À traiter en change infra dédié, vérifié sur preprod. Voir #251.

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#11

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#12

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#13

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#14

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#15

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#16

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#17

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#18

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#19

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#20

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#21

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#22

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#23

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#24

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#25

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#26

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#27

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#28

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

CD Updated by Client Dashboard about 1 month ago Actions
Copy link
#29

Vulnérabilité `server/Dockerfile:29_dockerfile.security.missing-user.missing-user` à nouveau détectée par un scan ; ticket déjà ouvert (aucun doublon créé).

RA Updated by Redmine Admin about 1 month ago Actions
Copy link
#30

Status changed from Submitted to In development
branch set to fix/secops-dockerfile-nonroot
pr_url set to https://github.com/Scobby-organisation/scobby/pull/105

Corrigé et fusionné sur `dev` (PR #105, CI verte). Même correctif que #251 (USER pwuser avant CMD).

RA Updated by Redmine Admin about 1 month ago Actions
Copy link
#31

Status changed from In development to Preprod
deploy_status set to deployed
preprod_url set to https://preprod-scobby.omdev.tech
deployed_at set to 07/01/2026

Déployé sur preprod (#107). Même correctif que #251, vérifié en live (API non-root pwuser 1001, uploads OK).

RA Updated by Redmine Admin about 1 month ago Actions
Copy link
#32

Status changed from Preprod to Ready to ship

Fusionné sur master (#109) et déployé en PROD le 2026-07-01. Même correctif que #251 (API non-root). Voir suivi #110.

Actions

Also available in: PDF Atom