Report Summary
┌────────┬──────────┬─────────────────┐
│ Target │ Type │ Vulnerabilities │
├────────┼──────────┼─────────────────┤
│ │ gobinary │ 29 │
└────────┴──────────┴─────────────────┘
Legend:
- '-': Not scanned
- '0': Clean (no security findings detected)
For OSS Maintainers: VEX Notice
--------------------------------
If you're an OSS maintainer and Trivy has detected vulnerabilities in your project that you believe are not actually exploitable, consider issuing a VEX (Vulnerability Exploitability eXchange) statement.
VEX allows you to communicate the actual status of vulnerabilities in your project, improving security transparency and reducing false positives for your users.
Learn more and start using VEX: https://trivy.dev/docs/v0.70/guide/supply-chain/vex/repo#publishing-vex-documents
To disable this notice, set the TRIVY_DISABLE_VEX_NOTICE environment variable.
(gobinary)
===========
Total: 29 (HIGH: 22, CRITICAL: 7)
┌───────────────────────────────┬─────────────────────┬──────────┬──────────┬───────────────────┬───────────────┬──────────────────────────────────────────────────────────────┐
│ Library │ Vulnerability │ Severity │ Status │ Installed Version │ Fixed Version │ Title │
├───────────────────────────────┼─────────────────────┼──────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ github.com/beego/beego │ CVE-2025-30223 │ CRITICAL │ affected │ v1.12.12 │ │ Beego allows Reflected/Stored XSS in Beego's RenderForm() │
│ │ │ │ │ │ │ Function Due to Unescaped User... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2025-30223 │
│ ├─────────────────────┼──────────┼──────────┤ ├───────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2021-27116 │ HIGH │ fixed │ │ 2.0.2 │ Privilege escalation in beego │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2021-27116 │
│ ├─────────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2021-27117 │ │ │ │ │ Privilege escalation in beego │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2021-27117 │
├───────────────────────────────┼─────────────────────┼──────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ github.com/casdoor/casdoor │ CVE-2026-9090 │ CRITICAL │ affected │ v1.573.0 │ │ Casdoor has an authentication bypass │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-9090 │
│ ├─────────────────────┤ │ │ ├───────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2026-9093 │ │ │ │ │ Casdoor does not validate the AudienceRestriction element in │
│ │ │ │ │ │ │ SAML assertions │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-9093 │
│ ├─────────────────────┤ │ │ ├───────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2026-9097 │ │ │ │ │ Casdoor doesn't verify that a JWT used for token exchange is │
│ │ │ │ │ │ │ still... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-9097 │
│ ├─────────────────────┤ │ │ ├───────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2026-9098 │ │ │ │ │ Casdoor SAML callback handler accepts any well-formed │
│ │ │ │ │ │ │ SAMLResponse sent to /api/acs without... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-9098 │
│ ├─────────────────────┼──────────┼──────────┤ ├───────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2025-61524 │ HIGH │ fixed │ │ 2.63.0 │ Casdoor is vulnerable to Improper Authorization │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2025-61524 │
│ ├─────────────────────┤ ├──────────┤ ├───────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2026-9096 │ │ affected │ │ │ Casdoor doesn't enforce SAML assertion time bounds │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-9096 │
├───────────────────────────────┼─────────────────────┤ ├──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ github.com/cloudflare/circl │ GHSA-9763-4f94-gfch │ │ fixed │ v1.1.0 │ 1.3.7 │ CIRCL's Kyber: timing side-channel (kyberslash2) │
│ │ │ │ │ │ │ https://github.com/advisories/GHSA-9763-4f94-gfch │
├───────────────────────────────┼─────────────────────┤ │ ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ github.com/go-git/go-billy/v5 │ CVE-2026-44973 │ │ │ v5.4.0 │ 5.9.0 │ Billy is an interface filesystem abstraction for Go. Prior │
│ │ │ │ │ │ │ to 5.9.0, m... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-44973 │
├───────────────────────────────┼─────────────────────┼──────────┤ ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ github.com/go-git/go-git/v5 │ CVE-2023-49569 │ CRITICAL │ │ v5.6.0 │ 5.11.0 │ go-git: Maliciously crafted Git server replies can lead to │
│ │ │ │ │ │ │ path traversal and... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-49569 │
│ ├─────────────────────┤ │ │ ├───────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2025-21613 │ │ │ │ 5.13.0 │ go-git: argument injection via the URL field │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2025-21613 │
│ ├─────────────────────┼──────────┤ │ ├───────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-49568 │ HIGH │ │ │ 5.11.0 │ go-git: Maliciously crafted Git server replies can cause DoS │
│ │ │ │ │ │ │ on go-git clients... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-49568 │
│ ├─────────────────────┤ │ │ ├───────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2025-21614 │ │ │ │ 5.13.0 │ go-git: go-git clients vulnerable to DoS via maliciously │
│ │ │ │ │ │ │ crafted Git server replies... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2025-21614 │
│ ├─────────────────────┤ │ │ ├───────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2026-45022 │ │ │ │ 5.19.0 │ go-git is an extensible git implementation library written │
│ │ │ │ │ │ │ in pure Go. ...... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-45022 │
├───────────────────────────────┼─────────────────────┤ │ ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ golang.org/x/crypto │ CVE-2026-39827 │ │ │ v0.51.0 │ 0.52.0 │ An authenticated SSH client that repeatedly opened channels │
│ │ │ │ │ │ │ which were ... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-39827 │
│ ├─────────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2026-39828 │ │ │ │ │ golang.org/x/crypto/ssh: golang.org/x/crypto/ssh: │
│ │ │ │ │ │ │ Unauthorized command execution via discarded SSH permissions │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-39828 │
│ ├─────────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2026-39829 │ │ │ │ │ golang.org/x/crypto/ssh: golang.org/x/crypto/ssh: Denial of │
│ │ │ │ │ │ │ Service via crafted public key with excessive parameters... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-39829 │
│ ├─────────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2026-39830 │ │ │ │ │ golang.org/x/crypto/ssh: golang.org/x/crypto/ssh: Denial of │
│ │ │ │ │ │ │ Service via resource leak from unsolicited SSH responses... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-39830 │
│ ├─────────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2026-39832 │ │ │ │ │ golang.org/x/crypto/ssh/agent: │
│ │ │ │ │ │ │ golang.org/x/crypto/ssh/agent: Security bypass due to │
│ │ │ │ │ │ │ improper handling of key restrictions │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-39832 │
│ ├─────────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2026-39835 │ │ │ │ │ golang.org/x/crypto/ssh: golang: golang.org/x/crypto/ssh: │
│ │ │ │ │ │ │ Denial of Service via crafted SSH certificate │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-39835 │
│ ├─────────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2026-42508 │ │ │ │ │ golang.org/x/crypto/ssh/knownhosts: golang: │
│ │ │ │ │ │ │ golang.org/x/crypto/ssh/knownhosts: Revocation bypass via │
│ │ │ │ │ │ │ unchecked SignatureKey │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-42508 │
│ ├─────────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2026-46595 │ │ │ │ │ golang.org/x/crypto/ssh: golang.org/x/crypto/ssh: │
│ │ │ │ │ │ │ Authorization bypass due to skipped source-address │
│ │ │ │ │ │ │ validation │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-46595 │
│ ├─────────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2026-46597 │ │ │ │ │ An incorrectly placed cast from bytes to int allowed for │
│ │ │ │ │ │ │ server-side p... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-46597 │
├───────────────────────────────┼─────────────────────┤ │ ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ golang.org/x/net │ CVE-2026-25681 │ │ │ v0.53.0 │ 0.55.0 │ golang.org/x/net/html: golang.org/x/net/html: Arbitrary code │
│ │ │ │ │ │ │ execution via Cross-Site Scripting │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-25681 │
│ ├─────────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2026-27136 │ │ │ │ │ golang.org/x/net/html: golang: golang.org/x/net/html: │
│ │ │ │ │ │ │ Cross-Site Scripting via HTML parsing bypass │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-27136 │
│ ├─────────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2026-39821 │ │ │ │ │ golang.org/x/net/idna: golang: golang.org/x/net/idna: │
│ │ │ │ │ │ │ Privilege escalation via incorrect Punycode label processing │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-39821 │
│ ├─────────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2026-42502 │ │ │ │ │ Parsing arbitrary HTML which is then rendered using Render │
│ │ │ │ │ │ │ can result ... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2026-42502 │
└───────────────────────────────┴─────────────────────┴──────────┴──────────┴───────────────────┴───────────────┴──────────────────────────────────────────────────────────────┘
The scheduled re-scan of the published image found a regression it passed at build time.
ghcr.io/alice101-dev/supply-chain-secure-build@sha256:fddd0ae2322d08c4ff2a04b5988d56db76209a13bcf3a989907ff2c6b721dc01Trivy report
Remediation: rebuild from
mainwith patched deps/toolchain, or — if a CVE isgenuinely unfixable — add a justified, time-boxed entry to
.trivyignore. A signatureor attestation failure instead means the registry artifact was tampered with or removed:
investigate before rebuilding.