Bug: 1-php8.4-alpine remains on x/net 0.59.0 after 1.13.1 build
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 3/5
- 見積もり時間
- 1〜2日
- 初心者へのやさしさ
- 52/100
調査の方向性
Read the v1.13.1 image build and tag workflow, then compare how it publishes 1.13.1-php8.4-alpine and the floating 1-php8.4-alpine tag. Check the repository’s major-tag policy and the nightly rebuild statement in SECURITY.md. Done when the intended tag behavior is clear and the published floating tag resolves to an image containing the fixed golang.org/x/net version, or the policy is documented.
索引モデルが issue の本文から書いたものです。
説明
What happened?
The floating Docker tag dunglas/frankenphp:1-php8.4-alpine still resolves to an image that contains golang.org/x/net v0.59.0. Trivy reports the fixed high-severity CVE-2026-78669 against that binary.
#2707 updated the dependency. It merged as 77b32f5517ec419725a945d12bc48ba10eabce6f. The v1.13.1 source tag contains golang.org/x/net v0.61.0. The v1.13.1 Docker-image build completed successfully. Its explicit image tag, dunglas/frankenphp:1.13.1-php8.4-alpine, is available.
Could 1-php8.4-alpine be repointed to the v1.13.1 image? Alternatively, could the intended major-tag policy be documented? The current state leaves users of the documented major tag on an older image despite the nightly-rebuild statement in SECURITY.md.
This is related to #2459. That issue tracks a different HTTP/2 denial-of-service concern, so this is not a duplicate.
Build Type
Docker (Alpine)
Worker Mode
No
Operating System
GNU/Linux
CPU Architecture
x86_64
PHP configuration
Not applicable. The discrepancy is visible in the published image and its source tag.
Relevant log output
usr/local/bin/frankenphp (gobinary)
Library: golang.org/x/net
Vulnerability: CVE-2026-78669
Severity: HIGH
Installed Version: v0.59.0
Fixed Version: 0.60.0
- 主要言語
- Go
- スター
- 11.4k
- フォーク
- 490
- 平均マージ
- 2日 21時間
- マージ済み PR（30日）
- 29
環境構築
- Dockerfile または Docker Compose ファイルあり
- プルリクエストのテンプレートなし
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
php/frankenphp のほかの issue
-
難易度 1/5 1時間未満 初心者へのやさしさ 90/100
php/frankenphp#2671 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
Include frankenphp version in logs対応中かも @ousamabenyounes が 83 日前に担当しました。 オープンenhancement
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
php/frankenphp#2483 · コメント 3 件 ·
メンテナーはふだん 1 日以内に返信
-
suggestion about compile.md再び着手できるかも このイシューのプルリクエストはマージされずにクローズされました。 オープンenhancement
難易度 1/5 1〜3時間 初心者へのやさしさ 68/100
php/frankenphp#601 · コメント 5 件 ·
メンテナーはふだん 1 日以内に返信
-
bug
難易度 4/5 3〜5日 初心者へのやさしさ 42/100
php/frankenphp#2711 ·
メンテナーはふだん 1 日以内に返信
-
bug
難易度 4/5 3〜5日 初心者へのやさしさ 34/100
php/frankenphp#2708 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
似ている issue
-
automation models
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
microsoft/TypeScript#64758 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 62/100
SocialGouv/iterion#2369 ·
メンテナーはふだん 1 日以内に返信
-
daemon/cluster: imageWithDigestString returns the mirror error even when upstream resolves the tagオープン
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
メンテナーはふだん 1 日以内に返信
-
area/ci bug priority/p3
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
メンテナーはふだん 1 日以内に返信