From 1c9b6f09aa45ea797864b1a9399e143881f6a755 Mon Sep 17 00:00:00 2001 From: Ralksta <16941050+ralksta@users.noreply.github.com> Date: Mon, 10 Aug 2026 09:59:21 +0200 Subject: [PATCH] fix(ci): Trivy-Action-Referenz existierte nicht (#409) aquasecurity/trivy-action@0.29.0 gibt es nicht -- die Tags des Repositories tragen ein fuehrendes v (v0.29.0). Der Publish-Job brach deshalb nach sieben Sekunden im Action-Setup ab, noch bevor das Image gebaut wurde: fuer v0.10.0 liegt kein Image auf ghcr.io. Jetzt auf den Commit-SHA von v0.36.0 gepinnt statt auf einen Tag. Ein Tag in einer fremden Action ist verschiebbar, und der Job hat security-events: write. Co-authored-by: ralksta Co-authored-by: Claude Opus 5 (1M context) --- .github/workflows/docker-publish.yml | 5 ++++- 1 file changed, 4 insertions(+), 1 deletion(-) diff --git a/.github/workflows/docker-publish.yml b/.github/workflows/docker-publish.yml index 1c66cfd..e3c2d45 100644 --- a/.github/workflows/docker-publish.yml +++ b/.github/workflows/docker-publish.yml @@ -59,7 +59,10 @@ jobs: cache-to: type=gha,mode=max - name: Scan image for vulnerabilities - uses: aquasecurity/trivy-action@0.29.0 + # Pinned to a commit SHA, not a tag: the action's tags carry a leading + # "v" (v0.36.0), so the previous "@0.29.0" resolved to nothing and the + # job failed at action setup — before the image was ever built. + uses: aquasecurity/trivy-action@ed142fd0673e97e23eac54620cfb913e5ce36c25 # v0.36.0 with: image-ref: ${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}@${{ steps.build.outputs.digest }} format: sarif