CVE-2026-88884 in Renovate
要約
〜によって VulDB • 2026年09月10日
Renovate は依存関係の更新を自動化するツールです。バージョン 44.3.1 より前の Renovate、およびバージョン 15.4.0 より前の Mend Renovate CE/EE イメージ、バージョン 15.4.0 より前の mend-renovate-ce Helm チャート、バージョン 10.4.0 より前の mend-renovate-enterprise-edition Helm チャートでは、ダイジェスト更新が内部の `minimumReleaseAge`（安定性年齢）チェックの対象外となっています。リポジトリ設定で `minimumReleaseAge` が構成され、かつ依存関係に `updateType=digest` （例：浮動タグ付きコミット SHA に固定された GitHub Actions、Docker イメージ、Go モジュール、NuGet パッケージなど）が含まれている場合、Renovate は新たに公開されたダイジェストに対してプルリクエスト（PR）をオープンし、そのステータスチェックには `renovate/stability-days` の保留中フラグのみが付与されます。これにより、新しく公開され、悪意のある可能性のある依存関係のバージョンが原因で、設定された最小リリース年齢が経過する前に PR が作成され、CI ワークフローが実行される可能性があります。これは、Minimum Release Age コントロールによって防止しようとしている事象そのものです。本問題は Renovate 44.3.1 で修正されています。回避策として、ダイジェスト更新を無効にするか、`dependencyDashboardApproval` の背後で制限することができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.