vikunja 0.0.17

Chart · Apps & productivity · standard · v0.0.17

fijado por digestfirmada con cosignSPDX SBOMprocedencia SLSAamd64 · arm64

Self-hosted to-do and project management app (lists, kanban, gantt, calendar) serving both the API and the Vue web UI. From source with the UI embedded on a hardened nonroot Wolfi base; SQLite or an external SQL database.

Versión

0.0.19 · última 0.0.18 0.0.17

La línea más reciente vive en la página base; las líneas más antiguas tienen su propia página para que puedas fijar y verificar exactamente esa versión. Solo se listan las versiones más recientes — un chart más antiguo fija un digest de imagen más antiguo.

Versión publicada

Esta es la versión 0.0.17 del chart de vikunja , publicada el 2026-10-22. Para el informe de seguridad en vivo y el digest de imagen desplegado actualmente, consulta la versión más reciente.

Firmada

cosign sin llave

SBOM

SPDX, en la imagen

Procedencia

compilación SLSA

Arquitecturas

amd64, arm64

Se ejecuta como

nonroot (uid 1001)

Sistema de archivos raíz

solo lectura

Informe de seguridad (Trivy)

F· 0/10027 fixable · rebuild clears them

Detalle de vulnerabilidades

vikunja 2.7.1 · 31 CVE

CVE	Gravedad	Paquete	Instalada	Corregida en	Título
CVE-2026-118264	CRITICAL	github.com/labstack/echo/v4	v4.15.4	4.16.1	Echo is a Go web framework. From 4.0.0 until 4.16.1 and 5.4.1, Echo's ...
CVE-2026-118264	CRITICAL	github.com/labstack/echo/v5	v5.3.1	5.4.1	Echo is a Go web framework. From 4.0.0 until 4.16.1 and 5.4.1, Echo's ...
CVE-2026-116587	HIGH	github.com/go-jose/go-jose/v4	v4.1.4	4.1.6	github.com/go-jose/go-jose: go-jose: Denial of Service via crafted RSA parameters in JWKs
CVE-2026-118260	HIGH	github.com/labstack/echo/v4	v4.15.4	4.16.1	Echo is a Go web framework. From 4.0.0 until 4.16.1, Echo v4's opt-in ...
CVE-2026-118261	HIGH	github.com/labstack/echo/v4	v4.15.4	4.16.1	Echo is a Go web framework. From 4.0.0 until 4.16.1, Echo v4's opt-in ...
CVE-2026-118262	HIGH	github.com/labstack/echo/v4	v4.15.4	4.16.1	Echo is a Go web framework. From 4.15.0 until 4.16.1 and 5.4.1, Echo's ...
CVE-2026-118262	HIGH	github.com/labstack/echo/v5	v5.3.1	5.4.1	Echo is a Go web framework. From 4.15.0 until 4.16.1 and 5.4.1, Echo's ...
CVE-2026-118650	HIGH	github.com/labstack/echo/v4	v4.15.4	4.16.0	Echo's middleware.Static: `%2F`-encoded path bypasses route/group middleware guarding a statically-served path
CVE-2026-118650	HIGH	github.com/labstack/echo/v5	v5.3.1	5.4.0	Echo's middleware.Static: `%2F`-encoded path bypasses route/group middleware guarding a statically-served path
CVE-2026-114437	MEDIUM	github.com/go-chi/chi/v5	v5.3.1	5.4.0	github.com/go-chi/chi: chi: client IP spoofing via unverified direct connection in ClientIPFromXFF middleware
CVE-2026-116585	MEDIUM	github.com/go-jose/go-jose/v4	v4.1.4	4.1.5	github.com/go-jose/go-jose: go-jose: Denial of Service via empty ciphertext buffer during JWE decryption
CVE-2026-116586	MEDIUM	github.com/go-jose/go-jose/v4	v4.1.4	4.1.5	github.com/go-jose/go-jose: go-jose: Denial of Service via deeply nested JSON parsing
CVE-2026-118263	MEDIUM	github.com/labstack/echo/v5	v5.3.1	5.4.1	Echo: BodyDump can discard BodyLimit overflow errors for unknown-length requests
CVE-2026-118265	MEDIUM	github.com/labstack/echo/v5	v5.3.1	5.4.1	Echo: X-Real-IP extractor trusts the header value instead of the sending peer
CVE-2026-118266	MEDIUM	github.com/labstack/echo/v4	v4.15.4	4.16.0	Echo is a Go web framework. Prior to 4.16.0 and 5.4.0, Echo's MethodOv ...
CVE-2026-118266	MEDIUM	github.com/labstack/echo/v5	v5.3.1	5.4.0	Echo is a Go web framework. Prior to 4.16.0 and 5.4.0, Echo's MethodOv ...
CVE-2026-118651	MEDIUM	github.com/labstack/echo/v5	v5.3.1	5.4.0	Echo is a Go web framework. From 4.0.0 until 5.4.0, the Proxy middlewa ...
CVE-2026-118652	MEDIUM	github.com/labstack/echo/v4	v4.15.4	4.16.0	Echo is a Go web framework. Prior to 4.16.0 and 5.4.0, Context.JSONP a ...
CVE-2026-118652	MEDIUM	github.com/labstack/echo/v5	v5.3.1	5.4.0	Echo is a Go web framework. Prior to 4.16.0 and 5.4.0, Context.JSONP a ...
CVE-2026-118654	MEDIUM	github.com/labstack/echo/v4	v4.15.4	4.16.0	Echo is a Go web framework. Prior to 4.16.0 and 5.4.0, Echo's static f ...
CVE-2026-118654	MEDIUM	github.com/labstack/echo/v5	v5.3.1	5.4.0	Echo is a Go web framework. Prior to 4.16.0 and 5.4.0, Echo's static f ...
CVE-2026-118656	MEDIUM	github.com/labstack/echo/v4	v4.15.4	4.16.0	Echo is a Go web framework. Prior to 4.16.0 and 5.4.0, sanitizeURI che ...
CVE-2026-118656	MEDIUM	github.com/labstack/echo/v5	v5.3.1	5.4.0	Echo is a Go web framework. Prior to 4.16.0 and 5.4.0, sanitizeURI che ...
CVE-2026-118657	MEDIUM	github.com/labstack/echo/v4	v4.15.4	4.16.0	Echo is a Go web framework. Prior to 4.16.0 and 5.4.0, Context.Scheme ...
CVE-2026-118657	MEDIUM	github.com/labstack/echo/v5	v5.3.1	5.4.0	Echo is a Go web framework. Prior to 4.16.0 and 5.4.0, Context.Scheme ...
CVE-2026-118651	MEDIUM	github.com/labstack/echo/v4	v4.15.4	— sin corrección	Echo is a Go web framework. From 4.0.0 until 5.4.0, the Proxy middlewa ...
CVE-2026-118653	MEDIUM	github.com/labstack/echo/v4	v4.15.4	— sin corrección	Echo is a Go web framework. From 4.0.0 until 5.1.0, Context.RealIP fal ...
CVE-2023-36308	LOW	github.com/disintegration/imaging	v1.6.2	— sin corrección	disintegration Imaging 1.6.2 allows attackers to cause a panic (becaus ...
CVE-2026-78661	UNKNOWN	golang.org/x/net	v0.60.0	0.62.0	When coalescing adjacent text nodes in addText and fosterParent, appen ...
CVE-2026-97045	UNKNOWN	golang.org/x/net	v0.60.0	0.62.0	In childTextNodesAreLiteral, walking up the tree previously stopped at ...
GO-2026-5932	UNKNOWN	golang.org/x/crypto	v0.57.0	— sin corrección	The golang.org/x/crypto/openpgp package is unmaintained, unsafe by design, and has known security issues

Crítica

Alta

Media

Baja

Desconocida

Informe de seguridad (Trivy) · image vikunja 2.7.1

Instala el chart

Despliega en Kubernetes con valores predeterminados reforzados. El chart fija su imagen por digest firmado, así que nunca tienes que rastrearlo tú mismo.

Instalar (fijado a 0.0.17)

helm install my-vikunja oci://ghcr.io/quenchworks/charts/vikunja --version 0.0.17

Versión del chart: 0.0.17
Licencia del chart: AGPL-3.0-or-later
Licencia de la app: AGPL-3.0+
Puerto del servicio: 80
Firmado: cosign (sin llave)
Publicado: 2026-10-22

Verifica el chart

cosign verify ghcr.io/quenchworks/charts/vikunja:0.0.17 \
  --certificate-identity-regexp 'https://github.com/quenchworks/.+' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

Transparencia

El chart publica sus atestaciones en GitHub y la imagen que despliega lleva las suyas en el mismo digest, verificables públicamente con los comandos anteriores. Ambos se registran en el registro de transparencia de Sigstore (Rekor), que cosign verify comprueba por ti.

Ver la imagen Ver en ArtifactHub Código del chart

Proyecto original: https://vikunja.io