[afdesk]

Description

This PR upgrades Trivy version to 0.73.0.

Before:

% trivy i -q --cache-backend=memory  aquasec/trivy-operator:0.32.0

Report Summary

┌───────────────────────────────────────────────┬──────────┬─────────────────┬─────────┐
│                    Target                     │   Type   │ Vulnerabilities │ Secrets │
├───────────────────────────────────────────────┼──────────┼─────────────────┼─────────┤
│ aquasec/trivy-operator:0.32.0 (alpine 3.24.1) │  alpine  │        0        │    -    │
├───────────────────────────────────────────────┼──────────┼─────────────────┼─────────┤
│ usr/local/bin/trivy-operator                  │ gobinary │        7        │    -    │
└───────────────────────────────────────────────┴──────────┴─────────────────┴─────────┘
Legend:
- '-': Not scanned
- '0': Clean (no security findings detected)


usr/local/bin/trivy-operator (gobinary)

Total: 7 (UNKNOWN: 2, LOW: 1, MEDIUM: 1, HIGH: 3, CRITICAL: 0)

┌─────────────────────────────────┬─────────────────────┬──────────┬──────────┬───────────────────┬───────────────┬─────────────────────────────────────────────────────────────┐
│             Library             │    Vulnerability    │ Severity │  Status  │ Installed Version │ Fixed Version │                            Title                            │
├─────────────────────────────────┼─────────────────────┼──────────┼──────────┼───────────────────┼───────────────┼─────────────────────────────────────────────────────────────┤
│ github.com/sigstore/sigstore-go │ CVE-2026-49834      │ MEDIUM   │ fixed    │ v1.1.4            │ 1.2.0         │ sigstore-go is a Go library for Sigstore signing and        │
│                                 │                     │          │          │                   │               │ verification. Pri ......                                    │
│                                 │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-49834                  │
│                                 ├─────────────────────┼──────────┤          │                   ├───────────────┼─────────────────────────────────────────────────────────────┤
│                                 │ CVE-2026-54787      │ LOW      │          │                   │ 1.2.1         │ github.com/sigstore/sigstore-go: sigstore-go: Signature     │
│                                 │                     │          │          │                   │               │ bypass allows acceptance of bundles signed with expired     │
│                                 │                     │          │          │                   │               │ keys...                                                     │
│                                 │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-54787                  │
├─────────────────────────────────┼─────────────────────┼──────────┼──────────┼───────────────────┼───────────────┼─────────────────────────────────────────────────────────────┤
│ golang.org/x/crypto             │ GO-2026-5932        │ UNKNOWN  │ affected │ v0.53.0           │               │ The golang.org/x/crypto/openpgp package is unmaintained,    │
│                                 │                     │          │          │                   │               │ unsafe by design, and has known security...                 │
├─────────────────────────────────┼─────────────────────┤          ├──────────┼───────────────────┼───────────────┼─────────────────────────────────────────────────────────────┤
│ golang.org/x/net                │ CVE-2026-46600      │          │ fixed    │ v0.55.0           │ 0.56.0        │ Parsing an invalid SVCB or HTTPS RR can panic when the      │
│                                 │                     │          │          │                   │               │ size...                                                     │
│                                 │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-46600                  │
├─────────────────────────────────┼─────────────────────┼──────────┤          ├───────────────────┼───────────────┼─────────────────────────────────────────────────────────────┤
│ golang.org/x/text               │ CVE-2026-56852      │ HIGH     │          │ v0.38.0           │ 0.39.0        │ A norm.Iter can enter an infinite loop when handling input  │
│                                 │                     │          │          │                   │               │ containing ...                                              │
│                                 │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-56852                  │
├─────────────────────────────────┼─────────────────────┤          │          ├───────────────────┼───────────────┼─────────────────────────────────────────────────────────────┤
│ google.golang.org/grpc          │ GHSA-hrxh-6v49-42gf │          │          │ v1.81.0           │ 1.82.1        │ gRPC-Go: xDS RBAC and HTTP/2 Vulnerabilities                │
│                                 │                     │          │          │                   │               │ https://github.com/advisories/GHSA-hrxh-6v49-42gf           │
├─────────────────────────────────┼─────────────────────┤          │          ├───────────────────┼───────────────┼─────────────────────────────────────────────────────────────┤
│ oras.land/oras-go/v2            │ CVE-2026-50163      │          │          │ v2.6.1            │ 2.6.2         │ oras-go: Oras-go: Information disclosure and arbitrary file │
│                                 │                     │          │          │                   │               │ access via crafted tarball hardlinks...                     │
│                                 │                     │          │          │                   │               │ https://avd.aquasec.com/nvd/cve-2026-50163                  │
└─────────────────────────────────┴─────────────────────┴──────────┴──────────┴───────────────────┴───────────────┴─────────────────────────────────────────────────────────────┘

After:

 % trivy i -q --cache-backend memory docker.io/afdesk/trivy-operator:trivy-0.73 

Report Summary

┌────────────────────────────────────────────────────────────┬──────────┬─────────────────┬─────────┐
│                           Target                           │   Type   │ Vulnerabilities │ Secrets │
├────────────────────────────────────────────────────────────┼──────────┼─────────────────┼─────────┤
│ docker.io/afdesk/trivy-operator:trivy-0.73 (alpine 3.24.1) │  alpine  │        0        │    -    │
├────────────────────────────────────────────────────────────┼──────────┼─────────────────┼─────────┤
│ usr/local/bin/trivy-operator                               │ gobinary │        1        │    -    │
└────────────────────────────────────────────────────────────┴──────────┴─────────────────┴─────────┘
Legend:
- '-': Not scanned
- '0': Clean (no security findings detected)


usr/local/bin/trivy-operator (gobinary)

Total: 1 (UNKNOWN: 1, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 0)

┌─────────────────────┬───────────────┬──────────┬──────────┬───────────────────┬───────────────┬──────────────────────────────────────────────────────────┐
│       Library       │ Vulnerability │ Severity │  Status  │ Installed Version │ Fixed Version │                          Title                           │
├─────────────────────┼───────────────┼──────────┼──────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────┤
│ golang.org/x/crypto │ GO-2026-5932  │ UNKNOWN  │ affected │ v0.54.0           │               │ The golang.org/x/crypto/openpgp package is unmaintained, │
│                     │               │          │          │                   │               │ unsafe by design, and has known security...              │
└─────────────────────┴───────────────┴──────────┴──────────┴───────────────────┴───────────────┴──────────────────────────────────────────────────────────┘

Checklist

• I've read the guidelines for contributing to this repository.
• I've added tests that prove my fix is effective or that my feature works.
• I've updated the documentation with the relevant information (if needed).
• I've added usage information (if the PR introduces new options)
• I've included a "before" and "after" example to the description (if the PR is a user interface change).