CVE-2024-58376
WysokieCVSS 8.8Streszczenie
Renovate w wersjach od 37.158.0 do przed 37.199.0 zawiera podatność na wstrzykiwanie poleceń w menedżerze helmv3 podczas obsługi registryAliases. Atakujący z dostępem do commitów może manipulować kluczami registryAliases, aby wykonać dowolne polecenia podczas operacji helm repo add, uzyskując pełny dostęp do środowiska wykonawczego Renovate.
Ocena ryzyka
Ryzyko obejmuje pełną kompromitację środowiska Renovate, co może prowadzić do nieautoryzowanego dostępu do repozytoriów i danych.
Rekomendacja
Zaleca się aktualizację Renovate do wersji 37.199.0 lub nowszej oraz ograniczenie dostępu do commitów dla zaufanych osób.
Oryginalny opis (angielski, źródło NVD)
Renovate versions 37.158.0 before 37.199.0 contain a command injection vulnerability in the helmv3 manager's registryAliases handling that allows attackers with commit access to execute arbitrary commands. Attackers can manipulate registryAliases keys with unquoted shell metacharacters to inject commands executed during helm repo add operations, gaining full access to Renovate's execution environment.