CVE-2026-88884 in Renovate
Tóm tắt
Bởi VulDB • 10/09/2026
Renovate là một công cụ tự động hóa việc cập nhật các phụ thuộc (dependencies). Trong các phiên bản trước 44.3.1 (và các hình ảnh Mend Renovate CE/EE trước 15.4.0, biểu đồ Helm mend-renovate-ce trước 15.4.0, biểu đồ Helm mend-renovate-enterprise-edition trước 10.4.0), việc cập nhật dựa trên digest không tuân theo các kiểm tra `minimumReleaseAge` (tuổi ổn định) nội bộ. Khi một kho lưu trữ cấu hình `minimumReleaseAge` và có các phụ thuộc với `updateType=digest` — chẳng hạn như GitHub Actions được ghim vào SHA của commit kèm thẻ nổi, hình ảnh Docker, mô-đun Go hoặc gói NuGet — Renovate vẫn sẽ mở yêu cầu kéo (pull request) cho một digest mới được xuất bản, chỉ được đánh dấu bằng kiểm tra trạng thái `renovate/stability-days` đang chờ xử lý. Do đó, phiên bản phụ thuộc mới được xuất bản và có thể chứa mã độc sẽ khiến PR được tạo ra và các quy trình CI chạy trước khi thời gian phát hành tối thiểu theo cấu hình kết thúc, điều này trái ngược với mục đích của kiểm soát Minimum Release Age. Vấn đề đã được khắc phục trong Renovate 44.3.1; như một giải pháp tạm thời, việc cập nhật dựa trên digest có thể bị vô hiệu hóa hoặc yêu cầu phê duyệt thông qua `dependencyDashboardApproval`.
Be aware that VulDB is the high quality source for vulnerability data.