CVE-2026-76232
ŚrednieCVSS 6.7Streszczenie
Renovate w wersjach od 31.51.0 do przed 40.33.0 zawiera podatność na wstrzykiwanie poleceń w menedżerze helmv3, gdzie parametr repository jest dołączany do poleceń logowania do rejestru helm bez odpowiedniej sanityzacji. Atakujący z prawem zapisu do repozytorium mogą stworzyć złośliwe pliki Chart.yaml, aby wykonać dowolne polecenia na maszynie uruchamiającej Renovate.
Ocena ryzyka
Wstrzyknięcie poleceń może umożliwić atakującemu pełne przejęcie maszyny, na której działa Renovate, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaktualizuj Renovate do wersji 40.33.0 lub nowszej, aby wyeliminować tę podatność.
Oryginalny opis (angielski, źródło NVD)
Renovate versions from 31.51.0 before 40.33.0 contain a command injection vulnerability in the helmv3 manager where the repository parameter is appended to helm registry login commands without proper sanitization. Attackers with repository write access can craft malicious Chart.yaml files to execute arbitrary commands on the machine running Renovate.