CVE-2026-88884 in Renovate
Resumen
por VulDB • 2026-09-10
Renovate es una herramienta de automatización para la actualización de dependencias. En las versiones anteriores a 44.3.1 (y en las imágenes de Mend Renovate CE/EE anteriores a 15.4.0, el chart Helm mend-renovate-ce anterior a 15.4.0 y el chart Helm mend-renovate-enterprise-edition anterior a 10.4.0), las actualizaciones por digest no están sujetas a las comprobaciones internas de `minimumReleaseAge` (edad mínima de estabilidad). Cuando un repositorio configura `minimumReleaseAge` y tiene dependencias con `updateType=digest`, como GitHub Actions fijadas a un SHA de commit mediante una etiqueta flotante, imágenes Docker, módulos Go o paquetes NuGet, Renovate seguirá abriendo una pull request para un digest recién publicado, marcado únicamente con la comprobación pendiente `renovate/stability-days`. Por lo tanto, una versión recientemente publicada y potencialmente maliciosa de una dependencia puede provocar que se abra una PR y que los flujos de trabajo CI se ejecuten antes de que haya transcurrido el tiempo mínimo de publicación configurado, lo cual es precisamente lo que la control Minimum Release Age está diseñado para prevenir. El problema se soluciona en Renovate 44.3.1; como medida alternativa (workaround), las actualizaciones por digest pueden desactivarse o condicionarse a `dependencyDashboardApproval`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.