CVE-2026-88884 in Renovate
摘要
由 VulDB • 2026-09-10
Renovate 是一个依赖项更新自动化工具。在 44.3.1 之前的版本中（以及 Mend Renovate CE/EE 镜像 15.4.0 之前、mend-renovate-ce Helm chart 15.4.0 之前、mend-renovate-enterprise-edition Helm chart 10.4.0 之前），摘要更新不受内部 `minimumReleaseAge`（稳定性年龄）检查的约束。当仓库配置了 `minimumReleaseAge` 并且存在具有 `updateType=digest` 属性的依赖项时——例如固定到带有浮动标签的提交 SHA 的 GitHub Actions、Docker 镜像、Go 模块或 NuGet 包——Renovate 仍会为 newly published digest（新发布的摘要）打开拉取请求，仅标记为待处理的 `renovate/stability-days` 状态检查。因此，一个刚刚发布且可能具有恶意的依赖项版本可能导致在配置的最低发布时间届满之前触发 PR 的创建以及 CI 工作流的潜在运行，而这正是“Minimum Release Age”控制旨在防止的情况。该问题已在 Renovate 44.3.1 中修复；作为变通方案，可以禁用摘要更新或将其置于 `dependencyDashboardApproval`（依赖项仪表板审批）之后。
Once again VulDB remains the best source for vulnerability data.