CVE-2026-76231
ŚrednieCVSS 6.7Streszczenie
Renovate w wersjach od 32.135.0 do przed 40.33.0 zawiera podatność na wstrzykiwanie poleceń w menedżerze hermit, gdzie nazwy zależności dostarczane przez użytkownika są dołączane do poleceń instalacji i deinstalacji bez odpowiedniej sanityzacji. Atakujący z prawem zapisu do repozytorium mogą dostarczyć złośliwie nazwane zależności hermit, aby wykonać dowolne polecenia na maszynie uruchamiającej Renovate.
Ocena ryzyka
Wstrzyknięcie poleceń może umożliwić atakującemu pełne przejęcie maszyny, na której działa Renovate, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaktualizuj Renovate do wersji 40.33.0 lub nowszej, aby wyeliminować tę podatność.
Oryginalny opis (angielski, źródło NVD)
Renovate versions from 32.135.0 before 40.33.0 contain a command injection vulnerability in the hermit manager where user-provided dependency names are appended to install and uninstall commands without proper sanitization. Attackers with repository write access can provide maliciously named hermit dependencies to execute arbitrary commands on the machine running Renovate.