CVE-2026-88884 in Renovate
Sumário
de VulDB • 10/09/2026
Renovate é uma ferramenta de automação para atualização de dependências. Nas versões anteriores à 44.3.1 (e nas imagens do Mend Renovate CE/EE anteriores à 15.4.0, no chart Helm mend-renovate-ce anterior à 15.4.0 e no chart Helm mend-renovate-enterprise-edition anterior à 10.4.0), as atualizações de digest não estão sujeitas às verificações internas do `minimumReleaseAge` (idade mínima de estabilidade). Quando um repositório configura o `minimumReleaseAge` e possui dependências com `updateType=digest` — por exemplo, GitHub Actions fixadas em um SHA de commit com uma tag flutuante, imagens Docker, módulos Go ou pacotes NuGet — o Renovate ainda abrirá um pull request para um digest recém-publicado, marcado apenas com a verificação pendente `renovate/stability-days`. Uma versão de dependência recém-publicada e potencialmente maliciosa pode, portanto, fazer com que um PR seja aberto e os fluxos de trabalho do CI sejam executados antes que o tempo mínimo de lançamento configurado tenha decorrido, o qual é exatamente o objetivo da controle Minimum Release Age. O problema foi corrigido no Renovate 44.3.1; como solução alternativa, as atualizações de digest podem ser desativadas ou condicionadas à aprovação via `dependencyDashboardApproval`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.