CVE-2026-88884 in Renovate
요약
\~에 의해 VulDB • 2026. 09. 10.
Renovate는 의존성 업데이트 자동화 도구입니다. 버전 44.3.1 이전의 Renovate(그리고 Mend Renovate CE/EE 이미지에서 15.4.0 미만, mend-renovate-ce Helm 차트에서 15.4.0 미만, mend-renovate-enterprise-edition Helm 차트에서 10.4.0 미만)에서는 다이제스트(digest) 업데이트가 내부 `minimumReleaseAge`(안정성 연령) 검사의 대상이 되지 않습니다. 저장소 구성에 `minimumReleaseAge`가 설정되어 있고 `updateType=digest`인 의존성(예: 고정 태그로 커밋 SHA에 연결된 GitHub Actions, Docker 이미지, Go 모듈 또는 NuGet 패키지 등)을 포함하고 있는 경우, Renovate는 새로 게시된 다이제스트에 대해 pending 상태의 `renovate/stability-days` 상태 검사만 표시된 채 풀 리퀘스트(PR)를 생성합니다. 따라서 새로 게시되어 잠재적으로 악성인 의존성 버전이 구성된 최소 릴리스 연령 경과 전에 PR을 생성하고 CI 워크플로우가 실행될 수 있으며, 이는 Minimum Release Age 제어 기능이 방지하려는 정확한 상황입니다. 이 문제는 Renovate 44.3.1에서 수정되었습니다. 우회 방법으로 다이제스트 업데이트를 비활성화하거나 `dependencyDashboardApproval` 뒤에 배치할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.