Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

Drop the GO-2026-5932 openpgp exclusion once rekor releases the migration

Aperta
  • Qualcosa non va?
#231 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
3/5
Tempo stimato
1-2 giorni
Idoneità per principianti
55/100
Tipo di issue
Refactoring
Chiarezza
Specificata chiaramente
Stato di attività
Tranquilla
Stack tecnologico
github-actions, go
Ambito
ci-cd, security

Direzione di ricerca

Attendi una release di Rekor successiva alla v1.5.3, quindi esamina la dipendenza indiretta di Rekor e .github/workflows/security.yml. Aggiorna la dipendenza, esegui govulncheck ./... e rimuovi solo la voce GO-2026-5932 e il relativo blocco di giustificazione; il controllo delle vulnerabilità circostante deve rimanere.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

needs-triage

Summary

.github/workflows/security.yml excludes GO-2026-5932 — golang.org/x/crypto/openpgp is deprecated by design, has no fixed version, and never will. Correct today, but it should not be permanent.

Why it exists

Nothing in this module imports openpgp. It arrives four levels up:

container/signer → sigstore-go/pkg/sign → rekor/pkg/pki → rekor/pkg/pki/pgp → golang.org/x/crypto/openpgp

rekor/pkg/pki is a pluggable signature-format registry, so importing it links every format, PGP included. There is no local call site to rewrite.

Every govulncheck trace is package-init reachability, not a call — the package is linked but never parses PGP data. The advisory is "unmaintained, unsafe by design" rather than a specific exploitable bug.

The exclusion arrived with the container/signer port; before that, nothing here linked sigstore-go/pkg/sign, so the advisory was unreachable.

What unblocks removal

Rekor already migrated to ProtonMail/go-crypto/openpgp in sigstore/rekor#2883, merged 2026-07-15, after the v1.5.3 release (2026-07-02). It is on main but unreleased.

Steps once a rekor release past v1.5.3 exists

  1. Bump github.com/sigstore/rekor (indirect, currently v1.5.3), likely via sigstore-go.
  2. Confirm with govulncheck ./....
  3. Remove GO-2026-5932 from IGNORED_VULNS in .github/workflows/security.yml and its justification block.

Note the surrounding check step should stay — it fails on any vulnerability not explicitly listed, which is stricter than the bare action it replaced. Only the entry goes.

stacklok/toolhive carries the same exclusion and needs the same bump against its own go.mod.

Lingua principale
Go
Stelle
2
Fork
5
Merge medio
1g 16h
PR unite (30g)
84

Preparare l'ambiente

Questo progetto non fornisce container di sviluppo, Dockerfile né guida per i contributori, quindi l'ambiente è a tuo carico: parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di stacklok/toolhive-core

Tutte le issue di stacklok/toolhive-core

Issue simili

Altre issue su Go

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.