Auf den Punkt: Dependabot wartet künftig standardmäßig drei Tage nach einer neuen Paketveröffentlichung, bevor es automatisch Pull Requests erstellt – der Cooldown ist in dependabot.yml konfigurierbar.
GitHub integriert einen neuen Cooldown-Mechanismus in Dependabot, der Aktualisierungsprozesse mindestens drei Tage nach der Paketveröffentlichung verzögert. Das Ziel ist, die Übernahme manipulierter Abhängigkeiten zu reduzieren.
GitHub hat eine neue Cooldown-Funktion in Dependabot angekündigt. Diese verzögert die automatische Erstellung von Pull Requests um mindestens drei Tage nach der Veröffentlichung eines neuen Paket-Releases.
Das Verfahren zielt darauf ab, die Anfälligkeit von Entwicklungsteams für sogenannte Supply-Chain-Attacken zu verringern. Insbesondere neu veröffentlichte Pakete sind ein bekanntes Angriffsfenster: Wenn Angreifer Kontrolle über ein beliebtes Projekt erlangen oder ein neues Package mit ähnlichem Namen registrieren, können sie zeitnah vergiftete Versionen einspeisen. Eine unmittelbare Übernahme durch automatisierte Tools erhöht das Risiko.
Die Konfiguration bleibt flexibel: Die Cooldown-Einstellung in der dependabot.yml-Datei ermöglicht es, die Wartezeit an die eigenen Anforderungen anzupassen oder eine andere Strategie festzulegen. Damit können Teams zwischen Sicherheit und Schnelligkeit abwägen, je nach Kritikalität ihrer Abhängigkeiten.
Quelle: thehackernews.com · Erschienen 27. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.