Skip to content

🔁 Scheduled re-scan regression on the published image #8

Description

@github-actions

The scheduled re-scan of the published image found a regression it passed at build time.

Check Result
SBOM attestation (verify + fetch) success
Trivy SBOM scan (CRITICAL/HIGH, incl. unfixed) failure
Cosign signature success
SLSA provenance success
Trivy report

Report Summary

┌────────┬──────────┬─────────────────┐
│ Target │   Type   │ Vulnerabilities │
├────────┼──────────┼─────────────────┤
│        │ gobinary │       29        │
└────────┴──────────┴─────────────────┘
Legend:
- '-': Not scanned
- '0': Clean (no security findings detected)


For OSS Maintainers: VEX Notice
--------------------------------
If you're an OSS maintainer and Trivy has detected vulnerabilities in your project that you believe are not actually exploitable, consider issuing a VEX (Vulnerability Exploitability eXchange) statement.
VEX allows you to communicate the actual status of vulnerabilities in your project, improving security transparency and reducing false positives for your users.
Learn more and start using VEX: https://trivy.dev/docs/v0.70/guide/supply-chain/vex/repo#publishing-vex-documents

To disable this notice, set the TRIVY_DISABLE_VEX_NOTICE environment variable.


 (gobinary)
===========
Total: 29 (HIGH: 22, CRITICAL: 7)

┌───────────────────────────────┬─────────────────────┬──────────┬──────────┬───────────────────┬───────────────┬──────────────────────────────────────────────────────────────┐
│            Library            │    Vulnerability    │ Severity │  Status  │ Installed Version │ Fixed Version │                            Title                             │
├───────────────────────────────┼─────────────────────┼──────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ github.com/beego/beego        │ CVE-2025-30223      │ CRITICAL │ affected │ v1.12.12          │               │ Beego allows Reflected/Stored XSS in Beego's RenderForm()    │
│                               │                     │          │          │                   │               │ Function Due to Unescaped User...                            │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2025-30223                   │
│                               ├─────────────────────┼──────────┼──────────┤                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                               │ CVE-2021-27116      │ HIGH     │ fixed    │                   │ 2.0.2         │ Privilege escalation in beego                                │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2021-27116                   │
│                               ├─────────────────────┤          │          │                   │               ├──────────────────────────────────────────────────────────────┤
│                               │ CVE-2021-27117      │          │          │                   │               │ Privilege escalation in beego                                │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2021-27117                   │
├───────────────────────────────┼─────────────────────┼──────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ github.com/casdoor/casdoor    │ CVE-2026-9090       │ CRITICAL │ affected │ v1.573.0          │               │ Casdoor has an authentication bypass                         │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-9090                    │
│                               ├─────────────────────┤          │          │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                               │ CVE-2026-9093       │          │          │                   │               │ Casdoor does not validate the AudienceRestriction element in │
│                               │                     │          │          │                   │               │ SAML assertions                                              │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-9093                    │
│                               ├─────────────────────┤          │          │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                               │ CVE-2026-9097       │          │          │                   │               │ Casdoor doesn't verify that a JWT used for token exchange is │
│                               │                     │          │          │                   │               │ still...                                                     │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-9097                    │
│                               ├─────────────────────┤          │          │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                               │ CVE-2026-9098       │          │          │                   │               │ Casdoor SAML callback handler accepts any well-formed        │
│                               │                     │          │          │                   │               │ SAMLResponse sent to /api/acs without...                     │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-9098                    │
│                               ├─────────────────────┼──────────┼──────────┤                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                               │ CVE-2025-61524      │ HIGH     │ fixed    │                   │ 2.63.0        │ Casdoor is vulnerable to Improper Authorization              │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2025-61524                   │
│                               ├─────────────────────┤          ├──────────┤                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                               │ CVE-2026-9096       │          │ affected │                   │               │ Casdoor doesn't enforce SAML assertion time bounds           │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-9096                    │
├───────────────────────────────┼─────────────────────┤          ├──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ github.com/cloudflare/circl   │ GHSA-9763-4f94-gfch │          │ fixed    │ v1.1.0            │ 1.3.7         │ CIRCL's Kyber: timing side-channel (kyberslash2)             │
│                               │                     │          │          │                   │               │ https://github.com/advisories/GHSA-9763-4f94-gfch            │
├───────────────────────────────┼─────────────────────┤          │          ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ github.com/go-git/go-billy/v5 │ CVE-2026-44973      │          │          │ v5.4.0            │ 5.9.0         │ Billy is an interface filesystem abstraction for Go. Prior   │
│                               │                     │          │          │                   │               │ to 5.9.0, m...                                               │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-44973                   │
├───────────────────────────────┼─────────────────────┼──────────┤          ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ github.com/go-git/go-git/v5   │ CVE-2023-49569      │ CRITICAL │          │ v5.6.0            │ 5.11.0        │ go-git: Maliciously crafted Git server replies can lead to   │
│                               │                     │          │          │                   │               │ path traversal and...                                        │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-49569                   │
│                               ├─────────────────────┤          │          │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                               │ CVE-2025-21613      │          │          │                   │ 5.13.0        │ go-git: argument injection via the URL field                 │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2025-21613                   │
│                               ├─────────────────────┼──────────┤          │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                               │ CVE-2023-49568      │ HIGH     │          │                   │ 5.11.0        │ go-git: Maliciously crafted Git server replies can cause DoS │
│                               │                     │          │          │                   │               │ on go-git clients...                                         │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2023-49568                   │
│                               ├─────────────────────┤          │          │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                               │ CVE-2025-21614      │          │          │                   │ 5.13.0        │ go-git: go-git clients vulnerable to DoS via maliciously     │
│                               │                     │          │          │                   │               │ crafted Git server replies...                                │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2025-21614                   │
│                               ├─────────────────────┤          │          │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                               │ CVE-2026-45022      │          │          │                   │ 5.19.0        │ go-git is an extensible git implementation library written   │
│                               │                     │          │          │                   │               │ in pure Go. ......                                           │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-45022                   │
├───────────────────────────────┼─────────────────────┤          │          ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ golang.org/x/crypto           │ CVE-2026-39827      │          │          │ v0.51.0           │ 0.52.0        │ An authenticated SSH client that repeatedly opened channels  │
│                               │                     │          │          │                   │               │ which were ...                                               │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-39827                   │
│                               ├─────────────────────┤          │          │                   │               ├──────────────────────────────────────────────────────────────┤
│                               │ CVE-2026-39828      │          │          │                   │               │ golang.org/x/crypto/ssh: golang.org/x/crypto/ssh:            │
│                               │                     │          │          │                   │               │ Unauthorized command execution via discarded SSH permissions │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-39828                   │
│                               ├─────────────────────┤          │          │                   │               ├──────────────────────────────────────────────────────────────┤
│                               │ CVE-2026-39829      │          │          │                   │               │ golang.org/x/crypto/ssh: golang.org/x/crypto/ssh: Denial of  │
│                               │                     │          │          │                   │               │ Service via crafted public key with excessive parameters...  │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-39829                   │
│                               ├─────────────────────┤          │          │                   │               ├──────────────────────────────────────────────────────────────┤
│                               │ CVE-2026-39830      │          │          │                   │               │ golang.org/x/crypto/ssh: golang.org/x/crypto/ssh: Denial of  │
│                               │                     │          │          │                   │               │ Service via resource leak from unsolicited SSH responses...  │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-39830                   │
│                               ├─────────────────────┤          │          │                   │               ├──────────────────────────────────────────────────────────────┤
│                               │ CVE-2026-39832      │          │          │                   │               │ golang.org/x/crypto/ssh/agent:                               │
│                               │                     │          │          │                   │               │ golang.org/x/crypto/ssh/agent: Security bypass due to        │
│                               │                     │          │          │                   │               │ improper handling of key restrictions                        │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-39832                   │
│                               ├─────────────────────┤          │          │                   │               ├──────────────────────────────────────────────────────────────┤
│                               │ CVE-2026-39835      │          │          │                   │               │ golang.org/x/crypto/ssh: golang: golang.org/x/crypto/ssh:    │
│                               │                     │          │          │                   │               │ Denial of Service via crafted SSH certificate                │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-39835                   │
│                               ├─────────────────────┤          │          │                   │               ├──────────────────────────────────────────────────────────────┤
│                               │ CVE-2026-42508      │          │          │                   │               │ golang.org/x/crypto/ssh/knownhosts: golang:                  │
│                               │                     │          │          │                   │               │ golang.org/x/crypto/ssh/knownhosts: Revocation bypass via    │
│                               │                     │          │          │                   │               │ unchecked SignatureKey                                       │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-42508                   │
│                               ├─────────────────────┤          │          │                   │               ├──────────────────────────────────────────────────────────────┤
│                               │ CVE-2026-46595      │          │          │                   │               │ golang.org/x/crypto/ssh: golang.org/x/crypto/ssh:            │
│                               │                     │          │          │                   │               │ Authorization bypass due to skipped source-address           │
│                               │                     │          │          │                   │               │ validation                                                   │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-46595                   │
│                               ├─────────────────────┤          │          │                   │               ├──────────────────────────────────────────────────────────────┤
│                               │ CVE-2026-46597      │          │          │                   │               │ An incorrectly placed cast from bytes to int allowed for     │
│                               │                     │          │          │                   │               │ server-side p...                                             │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-46597                   │
├───────────────────────────────┼─────────────────────┤          │          ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ golang.org/x/net              │ CVE-2026-25681      │          │          │ v0.53.0           │ 0.55.0        │ golang.org/x/net/html: golang.org/x/net/html: Arbitrary code │
│                               │                     │          │          │                   │               │ execution via Cross-Site Scripting                           │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-25681                   │
│                               ├─────────────────────┤          │          │                   │               ├──────────────────────────────────────────────────────────────┤
│                               │ CVE-2026-27136      │          │          │                   │               │ golang.org/x/net/html: golang: golang.org/x/net/html:        │
│                               │                     │          │          │                   │               │ Cross-Site Scripting via HTML parsing bypass                 │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-27136                   │
│                               ├─────────────────────┤          │          │                   │               ├──────────────────────────────────────────────────────────────┤
│                               │ CVE-2026-39821      │          │          │                   │               │ golang.org/x/net/idna: golang: golang.org/x/net/idna:        │
│                               │                     │          │          │                   │               │ Privilege escalation via incorrect Punycode label processing │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-39821                   │
│                               ├─────────────────────┤          │          │                   │               ├──────────────────────────────────────────────────────────────┤
│                               │ CVE-2026-42502      │          │          │                   │               │ Parsing arbitrary HTML which is then rendered using Render   │
│                               │                     │          │          │                   │               │ can result ...                                               │
│                               │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-42502                   │
└───────────────────────────────┴─────────────────────┴──────────┴──────────┴───────────────────┴───────────────┴──────────────────────────────────────────────────────────────┘

Remediation: rebuild from main with patched deps/toolchain, or — if a CVE is
genuinely unfixable — add a justified, time-boxed entry to .trivyignore. A signature
or attestation failure instead means the registry artifact was tampered with or removed:
investigate before rebuilding.

Activity

Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment

Metadata

Metadata

Assignees

No one assigned

    Labels

    rescanRegression found by the scheduled image re-scan

    Projects

    No projects

      Milestone

      No milestone

      Relationships

      None yet

      Development

      No branches or pull requests

      Issue actions