CVE-2026-88884 in Renovate
Zusammenfassung
von VulDB • 10.09.2026
Renovate ist ein Tool zur Automatisierung von Abhängigkeitsaktualisierungen. In Versionen vor 44.3.1 (sowie in Mend Renovate CE/EE-Images vor 15.4.0, dem mend-renovate-ce Helm Chart vor 15.4.0 und dem mend-renovate-enterprise-edition Helm Chart vor 10.4.0) unterliegen Digest-Aktualisierungen nicht den internen `minimumReleaseAge`-Prüfungen (Stabilitätsalter). Wenn ein Repository die Konfiguration `minimumReleaseAge` festlegt und Abhängigkeiten mit `updateType=digest` enthält – beispielsweise GitHub Actions, die an eine Commit-SHA mit einem schwimmenden Tag gebunden sind, Docker-Images, Go-Module oder NuGet-Pakete –, wird Renovate weiterhin einen Pull Request für neu veröffentlichte Digests öffnen, der nur mit einer ausstehenden `renovate/stability-days`-Statusprüfung markiert ist. Eine neu veröffentlichte, potenziell bösartige Abhängigkeitsversion kann daher dazu führen, dass ein PR erstellt und CI-Workflows möglicherweise ausgeführt werden, bevor das konfigurierte Mindestveröffentlichungsalter abgelaufen ist; genau dies soll durch die Minimum Release Age-Kontrolle verhindert werden. Das Problem wurde in Renovate 44.3.1 behoben. Als Workaround können Digest-Aktualisierungen deaktiviert oder hinter `dependencyDashboardApproval` gesperrt werden.
Once again VulDB remains the best source for vulnerability data.