Обновить Alpine-пакеты frontend-образа

docs/INFRASTRUCTURE.md

@@ -98,6 +98,7 @@ RUN npm ci
 RUN npm run build:vendor
 
 FROM httpd:alpine3.23@sha256:4a15e9c...
+RUN apk upgrade --no-cache
 COPY --from=frontend-assets /build/dist/vendor/ /usr/local/apache2/htdocs/vendor/
 COPY security.conf /usr/local/apache2/conf/extra/magistr-security.conf
 COPY proxy.conf /usr/local/apache2/conf/extra/magistr-proxy.conf
@@ -108,7 +109,8 @@ tag и manifest digest. Первый этап frontend собирает зафи
 OpenTelemetry bundle; второй раздаёт только runtime-
 файлы, без `node_modules`, тестов и build-исходников. Apache подключает `mod_headers`,
 `mod_proxy` и `mod_proxy_http`; proxy сохраняет исходный `Host`, чтобы `localhost` корректно
-маршрутизировался в tenant `default`. Сервер
+маршрутизировался в tenant `default`. Перед копированием runtime-файлов устанавливаются
+доступные исправления Alpine через `apk upgrade --no-cache`. Сервер
 возвращает CSP с `script-src 'self'`, `script-src-attr 'none'`, `style-src 'self'` и точными
 SHA-256 для оставшихся статических style-атрибутов. `unsafe-inline` и `unsafe-eval` не
 используются. Дополнительно выставляются `nosniff`, `DENY`, строгий referrer policy и