Skip to content

Trivy GUI 0.5.2

Choose a tag to compare

View all tags
@onlinecrash24 onlinecrash24 released this 09 Oct 20:35
· 11 commits to main since this release
v0.5.2
463572b

English | Deutsch

First public release of Trivy GUI, a lightweight web interface for Trivy that runs in a single Docker container.

docker pull ghcr.io/db-infra-ops/trivy-gui:0.5.2

Features

  • Scan container images (local via Docker socket or from a registry) and Git repositories
  • Vulnerabilities, secrets, misconfigurations and licenses
  • Results by severity with search, filters and a sortable table
  • Scan history with rescan, cancel and delete
  • Export as Trivy JSON or CSV
  • User interface in English and German
  • Multi-arch image (amd64/arm64) with SBOM and build provenance

Changes in 0.5.2

  • Alpine security updates: the image now runs apk upgrade during the build. This removes all 11 fixable HIGH vulnerabilities in Alpine packages (openssl, expat, pcre2).
  • CI report: each build lists the findings in its own image in the job summary, with license findings shown separately.

Changes in 0.5.1

  • Trivy 0.74.0, pinned by tag and digest
  • "Only vulnerabilities with an available fix" is enabled by default (like --ignore-unfixed)
  • CI smoke test: before publishing, the built container runs real scans (local image via Docker socket and a registry image)

Security notes

  • Trivy is deliberately pinned; latest is never used (background: Trivy supply-chain incident in March 2026, CVE-2026-33634).
  • 6 HIGH findings remain in the Trivy binary itself (Go stdlib 1.26.6, grpc, x/net). They can only be fixed by a newer Trivy release.
  • Mounting the Docker socket effectively grants root on the host. Only expose the GUI with AUTH_USER/AUTH_PASSWORD behind a reverse proxy, see the README.

Upgrade

Change the image tag to 0.5.2, then run docker compose pull && docker compose up -d. Scan history and the Trivy database are kept.


English | Deutsch

Erstes öffentliches Release von Trivy GUI, einer schlanken Weboberfläche für Trivy in einem einzigen Docker-Container.

docker pull ghcr.io/db-infra-ops/trivy-gui:0.5.2

Funktionen

  • Container-Images (lokal über den Docker-Socket oder aus einer Registry) und Git-Repositories scannen
  • Schwachstellen, Secrets, Fehlkonfigurationen und Lizenzen
  • Ergebnisse nach Schweregrad mit Suche, Filtern und sortierbarer Tabelle
  • Scan-Verlauf mit erneut scannen, Abbrechen und Löschen
  • Export als Trivy-JSON oder CSV
  • Oberfläche auf Deutsch und Englisch
  • Multi-Arch-Image (amd64/arm64) mit SBOM und Build-Provenance

Änderungen in 0.5.2

  • Alpine-Sicherheitsupdates: Das Image führt beim Build apk upgrade aus. Damit sind alle 11 behebbaren hohen Schwachstellen in Alpine-Paketen (openssl, expat, pcre2) beseitigt.
  • CI-Bericht: Jeder Build listet die Funde im eigenen Image in der Job-Zusammenfassung auf, Lizenz-Funde getrennt.

Änderungen in 0.5.1

  • Trivy 0.74.0, gepinnt per Tag und Digest
  • „Nur Schwachstellen mit verfügbarem Fix“ ist standardmäßig aktiv (wie --ignore-unfixed)
  • CI-Smoke-Test: Vor der Veröffentlichung führt der gebaute Container echte Scans aus (lokales Image über den Docker-Socket und ein Registry-Image)

Sicherheitshinweise

  • Trivy ist bewusst fest gepinnt, latest wird nie verwendet (Hintergrund: Supply-Chain-Vorfall bei Trivy im März 2026, CVE-2026-33634).
  • Im Trivy-Binary selbst verbleiben 6 hohe Funde (Go-Stdlib 1.26.6, grpc, x/net). Sie lassen sich nur durch ein neueres Trivy-Release beheben.
  • Der Docker-Socket entspricht faktisch Root-Rechten auf dem Host. Die GUI nur mit AUTH_USER/AUTH_PASSWORD hinter einem Reverse-Proxy freigeben, siehe README.

Update

Image-Tag auf 0.5.2 ändern, dann docker compose pull && docker compose up -d. Scan-Verlauf und Trivy-Datenbank bleiben erhalten.

Assets 2
Loading