CVE-2026-88884
Açıklama
Renovate bir bağımlılık güncelleme otomasyon aracıdır. 44.3.1 öncesindeki sürümlerde (ve 15.4.0 öncesindeki Mend Renovate CE/EE imajlarında, 15.4.0 öncesindeki mend-renovate-ce Helm chart'ında, 10.4.0 öncesindeki mend-renovate-enterprise-edition Helm chart'ında), özet (digest) güncellemeleri dahili `minimumReleaseAge` (kararlılık yaşı) kontrollerine tabi değildir. Bir depo `minimumReleaseAge` yapılandırdığında ve `updateType=digest` olan bağımlılıklara sahip olduğunda — örneğin yüzer bir etikete sahip bir commit SHA ile sabitlenmiş GitHub Actions, Docker imajları, Go modülleri veya NuGet paketleri — Renovate, yeni yayınlanmış bir özet için yalnızca bekleyen bir `renovate/stability-days` durum kontrolüyle işaretlenmiş bir çekme isteği (PR) açmaya devam edecektir. Bu nedenle, yeni yayınlanmış potansiyel olarak kötü amaçlı bir bağımlılık sürümü, yapılandırılan minimum yayın yaşı dolmadan önce bir PR oluşturulmasına ve CI iş akışlarının potansiyel olarak çalışmasına neden olabilir; ki bu tam olarak Minimum Release Age kontrolünün önlemeyi amaçladığı durumdur. Sorun Renovate 44.3.1 sürümünde düzeltilmiştir; geçici bir çözüm olarak, özet güncellemeleri devre dışı bırakılabilir veya `dependencyDashboardApproval` arkasına alınabilir.
Nasıl düzeltilir
- renovatebot renovate44.3.1 ya da sonraki bir sürüm
- mend renovate-ce15.4.0 ya da sonraki bir sürüm
- mend renovate-ee-server15.4.0 ya da sonraki bir sürüm
- mend renovate-ee-worker15.4.0 ya da sonraki bir sürüm
- mend mend-renovate-ce15.4.0 ya da sonraki bir sürüm
- mend mend-renovate-enterprise-edition10.4.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| renovatebot renovate | v < 44.3.1 | 44.3.1 |
| mend renovate-ce | v < 15.4.0 | 15.4.0 |
| mend renovate-ee-server | v < 15.4.0 | 15.4.0 |
| mend renovate-ee-worker | v < 15.4.0 | 15.4.0 |
| mend mend-renovate-ce | v < 15.4.0 | 15.4.0 |
| mend mend-renovate-enterprise-edition | v < 10.4.0 | 10.4.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.