CVE-2019-25766
WysokieCVSS 7.5Streszczenie
Renovate w wersjach od 13.87.0 do 19.38.6 wycieka tymczasowe tokeny repozytorium do komentarzy w pull requestach podczas niektórych scenariuszy błędów aktualizacji modułów Go. Problem naprawiono w wersji 19.38.7. Osoby mogące przeglądać komentarze mogą uzyskać ujawnione tokeny.
Ocena ryzyka
Ryzyko obejmuje ujawnienie tokenów dostępu do repozytoriów, co może prowadzić do nieautoryzowanego dostępu do kodu źródłowego.
Rekomendacja
Zaleca się aktualizację Renovate do wersji 19.38.7 lub nowszej oraz rotację tokenów, jeśli mogły być ujawnione.
Oryginalny opis (angielski, źródło NVD)
Renovate versions >= 13.87.0 and <= 19.38.6 leak temporary repository tokens into pull request comments during certain Go Modules update failure scenarios. The issue is fixed in version 19.38.7. Anyone able to view the affected pull request comments could obtain the exposed tokens.