CVE-2026-76233
ŚrednieCVSS 6.7Streszczenie
Renovate w wersjach od 39.53.0 do przed 40.33.0 zawiera podatność na wstrzykiwanie poleceń w menedżerze gleam, gdzie parametr depName jest dołączany do poleceń aktualizacji gleam bez odpowiedniej sanityzacji. Atakujący z prawem zapisu do repozytorium mogą stworzyć złośliwe pliki gleam.toml, aby wykonać dowolne polecenia na maszynie uruchamiającej Renovate.
Ocena ryzyka
Wstrzyknięcie poleceń może umożliwić atakującemu pełne przejęcie maszyny, na której działa Renovate, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaktualizuj Renovate do wersji 40.33.0 lub nowszej, aby wyeliminować tę podatność.
Oryginalny opis (angielski, źródło NVD)
Renovate versions from 39.53.0 before 40.33.0 contain a command injection vulnerability in the gleam manager where the depName parameter is appended to gleam deps update commands without proper sanitization. Attackers with repository write access can craft malicious gleam.toml files to execute arbitrary commands on the machine running Renovate.