ci: add multi-source dependency vulnerability scanning

[Kirrrusha]

Что сделано

Добавлен отдельный CI workflow для проверки уязвимостей зависимостей:

• pnpm audit, OSV-Scanner и Trivy сканируют package.json и pnpm-lock.yaml;
• для PR выполняется сравнение с базовой веткой: блокируются только новые или ухудшенные HIGH/CRITICAL;
• для main, scheduled и ручных запусков блокируются все неподтверждённые HIGH/CRITICAL;
• GitHub Dependency Review блокирует новые уязвимые зависимости в PR;
• результаты дедуплицируются по CVE/GHSA/OSV aliases и попадают в Job Summary, SARIF и artifact security-vulnerability-reports;
• добавлен реестр временных исключений с обязательным владельцем, причиной, issue и сроком действия до 30 дней;
• все actions в новом workflow закреплены полными commit SHA.

Проверки

• Prettier
• проверка синтаксиса Node.js-скрипта
• валидация YAML workflow
• синтетический тест policy для PR с уже существующей HIGH-уязвимостью

[github-advanced-security]

You are seeing this message because GitHub Code Scanning has recently been set up for this repository, or this pull request contains the workflow file for the Code Scanning tool.

What Enabling Code Scanning Means:

• The 'Security' tab will display more code scanning analysis results (e.g., for the default branch).
• Depending on your configuration and choice of analysis tool, future pull requests will be annotated with code scanning analysis results.
• You will be able to see the analysis results for the pull request's branch on this overview once the scans have completed and the checks have passed.

For more information about GitHub Code Scanning, check out the documentation.

[github-actions]

PR tester build for a81fa0e has been published:

• Chrome ZIP
• Firefox ZIP
• Firefox sources ZIP
• SHA256SUMS
• metadata.json

Artifact folder: https://github.com/cloud-ru-tech/cloudhood/tree/artifacts/pull-requests/165

Commit: a81fa0ea74da7502fad8da3e90b48e76b4ab2b11