Running docker scout on a built software reports a different version than it should
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 4/5
- Tiempo estimado
- 3-5 días
- Aptitud para principiantes
- 42/100
Línea de trabajo
Reproducir el informe utilizando la compilación del código fuente de ArgoCD y la salida de Docker Scout proporcionadas; después, comparar la versión del módulo Go detectada por Scout con /usr/local/bin/argocd version. Rastrear cómo la CLI identifica la versión del binario y asigna los CVE. Se considera terminado cuando el commit compilado se identifica de forma coherente y el rango de vulnerabilidad informado coincide con la versión real.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
I built ArgoCD from source:
mkdir argocd_build && \
cd argocd_build && \
mkdir gocache && \
mkdir gopath && \
export GOCACHE="$(realpath gocache)" && \
export GOPATH="$(realpath gopath)" && \
git clone https://github.com/argoproj/argo-cd && \
cd argo-cd && \
git checkout master && \
make clean && \
make BIN_NAME=argocd-linux-amd64 GOOS=linux argocd-all
Built from 08cd54775046c6ca7071ebe4f5d817f2658cd3c9 (current master).
Docker Scout reports a CVE on it:
1C 0H 0M 0L github.com/argoproj/argo-cd/v3 3.0.0-20250826192237-08cd54775046
pkg:golang/github.com/argoproj/[email protected]#v3
18: sha256:1326df62499f5e3478c1d5872b8acf7bbc3fad28394319df5c4a2327961e826f
/usr/local/bin/argocd (evident by)
✗ CRITICAL CVE-2025-47933 [Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')]
https://scout.docker.com/v/CVE-2025-47933
Affected range : <3.0.4
Fixed version : 3.0.4
CVSS Score : 9.0
CVSS Vector : CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
Even though in the image it says:
$ /usr/local/bin/argocd version
argocd: v3.2.0+08cd547
BuildDate: 2025-08-27T07:08:37Z
GitCommit: 08cd54775046c6ca7071ebe4f5d817f2658cd3c9
GitTreeState: clean
GoVersion: go1.25.0
Compiler: gc
Platform: linux/amd64
{"level":"fatal","msg":"Argo CD server address unspecified","time":"2025-08-27T07:38:40Z"}
If I build from ArgoCD's newest tag (v3.1.1) then I cannot reproduce this issue.
- Lenguaje dominante
- Shell
- Estrellas
- 456
- Forks
- 135
- Merge medio
- 59 min
- PR fusionados (30 d)
- 1
Preparar el entorno
Este proyecto no incluye contenedor de desarrollo, Dockerfile ni guía de contribución, así que la configuración corre por tu cuenta: empieza por su README y consulta nuestra guía para la primera contribución para los pasos generales.
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de docker/scout-cli
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
-
Dificultad 3/5 Medio día Aptitud para principiantes 68/100
-
GO-2026-5932: golang.org/x/crypto reported vulnerable at module level, ignoring import scopingAbierto
Dificultad 4/5 3-5 días Aptitud para principiantes 48/100
-
allstar
Dificultad 2/5 1-3 horas Aptitud para principiantes 45/100
-
Dificultad 4/5 3-5 días Aptitud para principiantes 48/100
Todos los issues de docker/scout-cli
Issues similares
-
[Bug]: armbian-firstlogin: preset Wi-Fi key with " or \ breaks netplan configPosiblemente ocupada @jfcabral la tomó hoy. AbiertoBug Good first issue
Dificultad 2/5 1-3 horas Aptitud para principiantes 62/100
armbian/build#10995 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
Los mantenedores suelen responder en 1 día
-
lane:repo
Dificultad 2/5 1-3 horas Aptitud para principiantes 62/100
SPARDiffData/differential-data-collection#42 ·
Los mantenedores suelen responder en 1 día
-
bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 62/100
alunduil/alunduil-chezmoi#923 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100
xonsh/xontrib-abbrevs#11 ·