CVE-2026-88884 in Renovate
Riassunto
di VulDB • 10/09/2026
Renovate è uno strumento di automazione per l'aggiornamento delle dipendenze. Nelle versioni precedenti alla 44.3.1 (e nelle immagini Mend Renovate CE/EE precedenti alla 15.4.0, nella Helm chart mend-renovate-ce precedente alla 15.4.0 e nella Helm chart mend-renovate-enterprise-edition precedente alla 10.4.0), gli aggiornamenti basati sul digest non sono soggetti ai controlli interni di `minimumReleaseAge` (età di stabilità). Quando un repository è configurato con `minimumReleaseAge` e presenta dipendenze con `updateType=digest` — ad esempio GitHub Actions bloccate a uno SHA del commit tramite tag fluttuante, immagini Docker, moduli Go o pacchetti NuGet — Renovate aprirà comunque una pull request per un digest appena pubblicato, contrassegnato solo da un controllo di stato pendente denominato `renovate/stability-days`. Una versione della dipendenza pubblicata di recente e potenzialmente malevola può quindi causare l'apertura di una PR e l'esecuzione dei flussi di lavoro CI prima che sia trascorso il periodo minimo di rilascio configurato, cosa che il controllo Minimum Release Age è proprio destinato a prevenire. Il problema è risolto in Renovate 44.3.1; come soluzione alternativa, gli aggiornamenti basati su digest possono essere disabilitati o subordinati all'approvazione tramite `dependencyDashboardApproval`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.