CVE-2026-88884 in Renovate
الملخص
بحسب VulDB • 10/09/2026
Renovate هو أداة أتمتة لتحديث التبعيات (dependencies). في الإصدارات السابقة لـ 44.3.1 (وأيضًا صور Mend Renovate CE/EE قبل 15.4.0، وحاوية Helm الخاصة بـ mend-renovate-ce قبل 15.4.0، وحاوية Helm الخاصة بـ mend-renovate-enterprise-edition قبل 10.4.0)، لا تخضع تحديثات الـ digest لفحوصات العمر الداخلي `minimumReleaseAge` (عمر الاستقرار). عندما يحدد مستودع التكوين `minimumReleaseAge` ويحتوي على تبعيات ذات `updateType=digest` — مثل إجراءات GitHub المثبتة عند SHA للالتزام مع علامة عائمة، أو صور Docker، أو وحدات Go، أو حزم NuGet — فسيظل Renovate يفتح طلب سحب (pull request) لـ digest تم نشره حديثًا، مُعلّمًا فقط بحالة فحص `renovate/stability-days` المعلقة. وبالتالي، يمكن لإصدار جديد من تبعية محتمل أن يكون ضارًا التسبب في رفع طلب السحب وتشغيل سير عمل CI بشكل محتمل قبل انقضاء العمر الأدنى المحدد للإصدار، وهو بالضبط ما تهدف إليه سيطرة "عمر الإصدار الأدنى" (Minimum Release Age) لمنع حدوثه. تم إصلاح المشكلة في Renovate 44.3.1؛ كحل بديل، يمكن تعطيل تحديثات الـ digest أو تقييدها خلف `dependencyDashboardApproval`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.