CVE-2026-88884 in Renovate
Résumé
par VulDB • 10/09/2026
Renovate est un outil d'automatisation de la mise à jour des dépendances. Dans les versions antérieures à la 44.3.1 (et dans les images Mend Renovate CE/EE avant la 15.4.0, le chart Helm mend-renovate-ce avant la 15.4.0 et le chart Helm mend-renovate-enterprise-edition avant la 10.4.0), les mises à jour par digest ne sont pas soumises aux vérifications internes de `minimumReleaseAge` (âge de stabilité). Lorsqu'un dépôt configure `minimumReleaseAge` et possède des dépendances avec `updateType=digest` — par exemple, GitHub Actions épinglées à un SHA de commit via une étiquette flottante, des images Docker, des modules Go ou des packages NuGet — Renovate ouvrira toujours une pull request pour un digest nouvellement publié, marqué uniquement d'un statut d'attente `renovate/stability-days`. Une version potentiellement malveillante d'une dépendance nouvellement publiée peut donc entraîner l'ouverture d'une PR et l'exécution potentielle des workflows CI avant que le délai minimum de publication configuré ne soit écoulé, ce qui est précisément l'objectif du contrôle Minimum Release Age. Le problème est corrigé dans Renovate 44.3.1 ; en attendant, les mises à jour par digest peuvent être désactivées ou soumises à l'approbation via `dependencyDashboardApproval`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.