Sicherheitskorrektur: Dockerfile unbekannt

Was das bedeutet

Zurückgegeben von POST /orgs/{org}/code-security/images/findings/{id}/autofix (Sicherheitskorrekturen). Es wurde kein Pull Request angefordert.

Seit dem 14.10.2026 beantwortet POST /orgs/{org}/dependency-updates/security-fixes/requests dieselbe Ablehnung mit dem Typ security-fix-image-source-unknown. Die oben genannten Pfade sind veraltet und antworten bis zum 15.10.2027 weiterhin mit autofix-image-source-unknown. Prüfe in deinem Code auf beide Typen.

Beispiel für eine detail-Meldung, die mit diesem Fehler zurückkommt:

• fremforge cannot tell which repository and commit built this image. Build and push it from an Actions run of a repository in this organisation, or add the OCI labels org.opencontainers.image.source and org.opencontainers.image.revision (docker/metadata-action sets both). The next image scan then finds its Dockerfile.

Die Antwort enthält außerdem "reason": "image_source_unknown".

Was du tun kannst

fremforge konnte nicht feststellen, welches Dockerfile das Image gebaut hat: Das Image trägt keine Labels org.opencontainers.image.source und org.opencontainers.image.revision und wurde nicht von einem Actions-Run eines Repositorys deiner Organisation gepusht, kein Dockerfile in diesem Commit hat ein Basis-Image, mit dem das Image beginnt, zwei haben eines, oder die Registry des Basis-Images war nicht lesbar. detail sagt, welcher Fall vorliegt. Baue und pushe das Image aus Actions, oder setze die Labels beim Bauen (docker/metadata-action setzt beide).

Form der Antwort

Alle Fehler der fremforge-API sind RFC 9457 problem+json:

{
  "type": "https://docs.frem.sh/reference/api/errors/autofix-image-source-unknown",
  "title": "Unprocessable Entity",
  "status": 422,
  "detail": "...",
  "reason": "image_source_unknown"
}

Werte type aus, nicht title oder detail – diese sind für Menschen gedacht und können umformuliert werden.