CVE-2026-88884 in Renovate
Сводка
по VulDB • 10.09.2026
Renovate — это инструмент автоматизации обновления зависимостей. В версиях до 44.3.1 (а также в образах Mend Renovate CE/EE до версии 15.4.0, Helm-чарте mend-renovate-ce до версии 15.4.0 и Helm-чарте mend-renovate-enterprise-edition до версии 10.4.0) обновления на основе дайджеста (digest updates) не проходят проверку внутреннего параметра `minimumReleaseAge` (возраста стабильности). Если в конфигурации репозитория установлен `minimumReleaseAge` и имеются зависимости с `updateType=digest` — например, GitHub Actions, зафиксированные по хэшу коммита с плавающим тегом, образы Docker, модули Go или пакеты NuGet — Renovate все равно создаст запрос на вытягивание (pull request) для недавно опубликованного дайджеста, отметив его только статусом проверки `renovate/stability-days` со статусом «ожидает». Недавно опубликованная версия зависимости, которая может быть вредоносной, таким образом приводит к созданию PR и потенциальному запуску CI-рабочих процессов до истечения заданного минимального возраста выпуска, что именно предотвращается контролем Minimum Release Age. Проблема исправлена в Renovate 44.3.1; в качестве обходного пути обновления на основе дайджеста можно отключить или поставить под контроль `dependencyDashboardApproval`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.