Skip to content

Trivy GUI 0.6.0

Choose a tag to compare

View all tags
@onlinecrash24 onlinecrash24 released this 09 Oct 20:48
· 5 commits to main since this release
v0.6.0
57d2722

English | Deutsch

docker pull ghcr.io/db-infra-ops/trivy-gui:0.6.0

New: login page

The browser's Basic Auth dialog is replaced by a proper login page.

  • Login page in English and German; the header shows the signed-in user and a Log out button
  • Session cookie with a random token, HttpOnly and SameSite=Strict. Behind an HTTPS reverse proxy (e.g. Nginx Proxy Manager) it is automatically marked Secure.
  • Brute-force protection: every failed attempt is delayed by one second; after 20 failed attempts within 5 minutes, logins are blocked temporarily. Existing sessions keep working.
  • Scripts can still call the API with Basic Auth (curl -u admin:<password> …); the same brute-force protection applies.

New options

Variable Default Description
SESSION_HOURS 8 How long a login stays valid
COOKIE_SECURE auto Secure flag of the session cookie: auto, true, false

Upgrade notes

  • Existing AUTH_USER / AUTH_PASSWORD settings keep working. Instead of the browser dialog you now get the login page.
  • AUTH_PASSWORD alone is enough to enable the login; the username then defaults to admin.
  • Changed: if AUTH_USER is set but AUTH_PASSWORD is empty, the container now refuses to start (previously it only logged a warning).
  • Sessions are kept in memory, so you have to sign in again after a container restart.

To upgrade, change the image tag to 0.6.0, then run docker compose pull && docker compose up -d.

Other changes

  • The README deployment example shows the credentials directly, with the matching variables (TRIVY_GUI_USER / TRIVY_GUI_PASSWORD) for Portainer or .env in the comments
  • The CI smoke test now also checks the login (redirect, wrong/correct password, session, Basic Auth, logout)

Full changelog: v0.5.3...v0.6.0


English | Deutsch

docker pull ghcr.io/db-infra-ops/trivy-gui:0.6.0

Neu: Login-Seite

Der Basic-Auth-Dialog des Browsers wird durch eine richtige Login-Seite ersetzt.

  • Login-Seite auf Deutsch und Englisch; die Kopfzeile zeigt den angemeldeten Benutzer und einen Abmelden-Button
  • Sitzungs-Cookie mit zufälligem Token, HttpOnly und SameSite=Strict. Hinter einem HTTPS-Reverse-Proxy (z. B. Nginx Proxy Manager) wird es automatisch als Secure markiert.
  • Schutz vor Passwort-Raten: Jeder Fehlversuch wird um eine Sekunde verzögert; nach 20 Fehlversuchen in 5 Minuten wird die Anmeldung vorübergehend gesperrt. Bestehende Sitzungen laufen weiter.
  • Skripte können die API weiterhin mit Basic-Auth aufrufen (curl -u admin:<passwort> …); dafür gilt derselbe Schutz.

Neue Optionen

Variable Standard Bedeutung
SESSION_HOURS 8 Wie lange eine Anmeldung gültig bleibt
COOKIE_SECURE auto Secure-Flag des Sitzungs-Cookies: auto, true, false

Hinweise zum Update

  • Bestehende Einstellungen mit AUTH_USER / AUTH_PASSWORD funktionieren weiter. Statt des Browser-Dialogs erscheint jetzt die Login-Seite.
  • AUTH_PASSWORD allein reicht, um die Anmeldung zu aktivieren; der Benutzer heißt dann admin.
  • Geändert: Ist AUTH_USER gesetzt, aber AUTH_PASSWORD leer, startet der Container nicht mehr (bisher gab es nur eine Warnung).
  • Sitzungen liegen im Arbeitsspeicher, nach einem Neustart des Containers ist eine erneute Anmeldung nötig.

Für das Update den Image-Tag auf 0.6.0 ändern, dann docker compose pull && docker compose up -d.

Weitere Änderungen

  • Das Deployment-Beispiel in der README zeigt die Zugangsdaten direkt, die passenden Variablen (TRIVY_GUI_USER / TRIVY_GUI_PASSWORD) für Portainer oder .env stehen im Kommentar
  • Der CI-Smoke-Test prüft jetzt auch die Anmeldung (Weiterleitung, falsches/richtiges Passwort, Sitzung, Basic-Auth, Abmelden)

Alle Änderungen: v0.5.3...v0.6.0

Assets 2
Loading