CVE-2026-76230
ŚrednieCVSS 6.7Streszczenie
Renovate w wersjach od 35.63.0 do przed 40.33.0 zawiera podatność na wstrzyknięcie poleceń w menedżerze npm, gdzie wartości packageName dostarczane przez użytkownika są dołączane do poleceń npm install bez odpowiedniej sanityzacji. Atakujący z prawem zapisu do repozytorium mogą stworzyć złośliwe pliki konfiguracyjne Renovate, aby wykonać dowolne polecenia na maszynie uruchamiającej Renovate.
Ocena ryzyka
Ryzyko przejęcia kontroli nad maszyną z Renovate, co może prowadzić do kradzieży danych, modyfikacji repozytoriów lub dalszego ataku na infrastrukturę.
Rekomendacja
Zaktualizuj Renovate do wersji 40.33.0 lub nowszej, która zawiera poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
Renovate versions from 35.63.0 before 40.33.0 contain a command injection vulnerability in the npm manager where user-provided packageName values are appended to npm install commands without proper sanitization. Attackers with repository write access can craft malicious Renovate configuration files to execute arbitrary commands on the machine running Renovate.