Docker image `v1.6.0` contains vulnerable Go stdlib and golang.org/x modules
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 2/5
- 見積もり時間
- 1〜3時間
- 初心者へのやさしさ
- 76/100
調査の方向性
まず go.mod の Go バージョンと間接依存関係の項目を確認し、次に Docker のビルド設定を調べて、どの Go バージョンが v1.6.0 イメージを生成するかを確認してください。Go ツールチェーンと、記載されている golang.org/x/net および golang.org/x/text のバージョンを推奨リリースに更新し、プロジェクトで利用できるビルドまたはセキュリティチェックを実行してください。生成されたイメージに報告された脆弱なバージョンが含まれなくなれば完了です。
索引モデルが issue の本文から書いたものです。
説明
Summary
Our security scanner reports Go-related vulnerabilities in the hookdeck/outpost:v1.6.0 Docker image.
The v1.6.0 source uses Go 1.27.1 and includes vulnerable Go module versions:
- Go stdlib from Go
1.27.1; scanner recommends Go1.27.2 golang.org/x/net v0.57.0; scanner recommendsv0.60.0golang.org/x/text v0.40.0; scanner recommendsv0.41.0
Affected image
- Image:
hookdeck/outpost:v1.6.0 - Release: https://github.com/hookdeck/outpost/releases/tag/v1.6.0
- Source
go.mod:go 1.27.1 - Current indirect deps in
v1.6.0:golang.org/x/net v0.57.0golang.org/x/text v0.40.0
Scanner findings
Go stdlib
Scanner summary:
stdlib is affected by 10 unique vulnerabilities. 1 is critical and 9 are high.
In order to fix all of these vulnerabilities, update stdlib to 1.27.2.
Go 1.27.2 was released on 2026-10-08 and includes security fixes in:
net/httpcrypto/tlsnet/textprotohtml/templateoscmd/go
References:
golang.org/x/net
Scanner summary:
golang.org/x/net is affected by 4 unique vulnerabilities. 4 are high.
In order to fix all of these vulnerabilities, update golang.org/x/net to 0.60.0.
golang.org/x/net v0.60.0 fixes HTTP/2-related DoS/security issues, including:
- HTTP/2 server memory exhaustion due to
Trailerheaders - excessive CPU consumption from repeated initial window changes
- double flow-control refund on HTTP/2 server streams
- HTTP/2 server crash due to HPACK encoder race
Reference:
golang.org/x/text
Scanner summary:
The Nickname profile can panic with an out-of-bounds slice error when transforming crafted input into a short destination buffer.
In order to fix this vulnerability, update golang.org/x/text to 0.41.0.
This appears to be CVE-2026-56851 / GO-2026-6629, affecting golang.org/x/text/secure/precis before v0.41.0.
Reference:
- 主要言語
- Go
- スター
- 1.1k
- フォーク
- 70
- 平均マージ
- 1日 18時間
- マージ済み PR（30日）
- 56
環境構築
このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
hookdeck/outpost のほかの issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
メンテナーはふだん 1 日以内に返信
-
enhancement
難易度 4/5 3〜5日 初心者へのやさしさ 48/100
hookdeck/outpost#1117 · コメント 1 件 · リアクション 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 4/5 3〜5日 初心者へのやさしさ 35/100
メンテナーはふだん 1 日以内に返信
-
難易度 4/5 3〜5日 初心者へのやさしさ 45/100
メンテナーはふだん 1 日以内に返信
hookdeck/outpost の issue をすべて見る
似ている issue
-
docs: clarify gh api -f vs -F and @-file expansion in the gh skill対応中かも @MatiasOlivera が今日担当しました。 オープンenhancement
難易度 2/5 半日 初心者へのやさしさ 62/100
メンテナーはふだん 1 日以内に返信
-
bug
難易度 2/5 1〜3時間 初心者へのやさしさ 88/100
aws/aws-advanced-go-wrapper#612 ·
-
Say in the changelog that the text-index update cannot be rolled back対応中かも @praetorianer777 が今日担当しました。 オープン
難易度 1/5 1時間未満 初心者へのやさしさ 88/100
praetorianer777/GoTome#275 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 62/100
SAP/crossplane-provider-btp#1118 ·
メンテナーはふだん 1 日以内に返信
-
benchmark: `make setup` fails because audit-exporter builds with Go 1.25.0 while go.mod requires 1.26.0対応中かも @xsvm が今日担当しました。 オープン
難易度 1/5 1時間未満 初心者へのやさしさ 84/100
volcano-sh/volcano#6097 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信