CVE-2026-88881
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Renovate, narzędzie do aktualizacji zależności, podąża za linkami paginacji dostarczonymi przez serwer GitHub w nagłówku HTTP `Link` podczas interakcji z GitHub.com, GitHub Enterprise Cloud lub GitHub Enterprise Server i wysyła poświadczenia skonfigurowane dla tego hosta do URL-a podanego jako strona 'next'. Ponieważ URL paginacji nie jest walidowany względem hosta, z którym początkowo nawiązano kontakt, złośliwy lub przejęty serwer GitHub może zwrócić nagłówek `Link` wskazujący na host kontrolowany przez atakującego i spowodować ujawnienie mu tych poświadczeń. Wykorzystanie wymaga, aby serwer GitHub, z którym rozmawia Renovate (jako host repozytorium lub źródło danych takie jak github-releases, github-tags lub git-refs), był już złośliwy lub przejęty. Problem naprawiono w renovate 44.11.3 (obrazy npm i renovate/renovate), Mend Renovate CE/EE i mend-renovate-ce helm chart 15.4.0 oraz mend-renovate-enterprise-edition helm chart 10.4.0. Nie ma obejścia; istniejąca opcja RENOVATE_X_REBASE_PAGINATION_LINKS wyłącza nowe sprawdzenie hosta i powinna być używana tylko z serwerami, które celowo używają różnych hostów paginacji.
Ocena ryzyka
Organizacje używające Renovate z GitHub są narażone na wyciek poświadczeń GitHub do złośliwego hosta, co może prowadzić do nieautoryzowanego dostępu do repozytoriów i danych.
Rekomendacja
Należy zaktualizować Renovate do wersji 44.11.3 lub nowszej (lub odpowiednich wersji Mend Renovate CE/EE i helm chart), ponieważ nie ma obejścia tego problemu.
Inne podatności w Renovate
Zobacz wszystkie- CVE-2026-88889Wysokie
Renovate przed wersją 44.14.7 zawiera podatność command injection w menedżerze Maven Wrapper, która pozwala atakującym na wykonanie dowolnych poleceń poprzez podanie złośliwego parametru distributionType w pliku maven-wrapper.properties. Atakujący mogą wstrzyknąć polecenia powłoki poprzez nieescapowane wartości distributionType, aby uzyskać zdalne wykonanie kodu, gdy Renovate przetwarza aktualizacje Maven Wrapper w trybie binarySource=docker.
- CVE-2026-88888Wysokie
Renovate przed wersją 44.14.7 zawiera podatność command injection w menedżerze Mix podczas przetwarzania prywatnych zależności z nieescapowanymi parametrami organizacji. Atakujący mogą wstrzyknąć metaznaki powłoki poprzez złośliwe nazwy pakietów, aby wykonać dowolne polecenia jako użytkownik Renovate w trybie binarySource=docker.
- CVE-2026-88887Wysokie
Renovate to narzędzie do automatyzacji aktualizacji zależności. Podczas listowania tagów/digestów dla obrazu kontenera Renovate podąża za linkami paginacji dostarczonymi przez zdalny rejestr w nagłówku HTTP Link i dołącza poświadczenia rejestru do żądania follow-up bez weryfikacji, czy URL paginacji ma to samo pochodzenie co oryginalny rejestr. Złośliwy lub przejęty rejestr kontenerów może zatem wskazać nagłówek Link na host kontrolowany przez atakującego i otrzymać poświadczenia Renovate używane dla tego rejestru. Wykorzystanie wymaga, aby cel miał zależności kontenerowe (Docker) i już wchodził w interakcję ze złośliwym lub przejętym rejestrem. Naprawiono w Renovate 44.11.2 (obrazy npm i renovate/renovate), Mend Renovate CE/EE 15.4.0 oraz mend-renovate-enterprise-edition Helm chart 10.4.0; sprawdzenie tego samego pochodzenia można wyłączyć za pomocą RENOVATE_X_DOCKER_PAGINATION_ALLOW_CROSS_ORIGIN.
- CVE-2026-88884Średnie
Renovate w wersjach przed 44.3.1 (oraz obrazy Mend Renovate CE/EE przed 15.4.0, helm chart mend-renovate-ce przed 15.4.0 i mend-renovate-enterprise-edition przed 10.4.0) nie stosuje wewnętrznego sprawdzania minimalnego wieku wydania (minimumReleaseAge) do aktualizacji typu digest. Gdy repozytorium ma skonfigurowane minimumReleaseAge i zależności z updateType=digest (np. GitHub Actions przypięte do SHA, obrazy Docker, moduły Go, pakiety NuGet), Renovate nadal otwiera pull request dla nowo opublikowanego digestu, oznaczając go jedynie statusem renovate/stability-days.
- CVE-2026-88883Wysokie
Renovate to narzędzie do automatycznej aktualizacji zależności. W wersjach przed 44.14.4 (oraz obrazach Mend Renovate CE/EE przed 15.4.0 i mend-renovate-enterprise-edition Helm chart przed 10.4.0) sanityzacja logów dla kluczy prywatnych TLS używanych do Mutual TLS była niekompletna. Chociaż wartość hostRules[].httpsPrivateKey była redagowana w samym polu, ta sama wartość klucza prywatnego nie była redagowana, jeśli pojawiła się gdzie indziej — na przykład w innej opcji konfiguracyjnej lub w komunikacie logu pod kluczem innym niż httpsPrivateKey — powodując zapisanie pełnego klucza prywatnego do logów Renovate w postaci jawnej. Dotyczy to wdrożeń konfigurujących Mutual TLS przez hostRules[].httpsPrivateKey bez przekazywania wartości przez udokumentowaną konfigurację `secrets`. Każdy, kto może odczytać wynikowe logi, może odzyskać klucz prywatny. Problem naprawiono w Renovate 44.14.4, który redaguje każdą wartość dostarczoną jako hostRules[].httpsPrivateKey wszędzie tam, gdzie pojawia się w logach; jako obejście należy dostarczyć klucz przez konfigurację `secrets`.
- CVE-2026-88882Wysokie
Renovate to narzędzie do automatyzacji aktualizacji zależności. W wersjach przed 44.11.2 (oraz obrazach i chartach Mend Renovate CE/EE przed 15.4.0 i mend-renovate-enterprise-edition helm chart przed 10.4.0), podczas listowania nowych wersji pakietów z rejestru NuGet Renovate podąża za URL-ami paginacji dostarczonymi przez rejestr w nagłówku HTTP `Link` bez weryfikacji, czy cel ma to samo pochodzenie co skonfigurowany rejestr. Poświadczenia rejestru są dołączane do żądania dla strony 'next', więc złośliwy lub przejęty rejestr NuGet może zwrócić nagłówek `Link` wskazujący na serwer kontrolowany przez atakującego i spowodować wysłanie poświadczeń rejestru do tego serwera. Wykorzystanie wymaga, aby zdalny rejestr był złośliwy lub przejęty; taki rejestr normalnie już otrzymałby poświadczenia w początkowym żądaniu, więc problem głównie pozwala na dostarczenie poświadczeń do dodatkowego, wybranego przez atakującego hosta. Poprawka ogranicza paginację do tego samego pochodzenia; poprzednie zachowanie można ponownie włączyć opcją RENOVATE_X_NUGET_PAGINATION_ALLOW_CROSS_ORIGIN.
- CVE-2026-88886Wysokie
Renovate to narzędzie do automatyzacji aktualizacji zależności. W wersjach przed 44.14.7 (oraz w dystrybucjach Mend Renovate CE/EE przed 15.4.0 i mend-renovate-enterprise-edition Helm chart przed 10.4.0) moduł manager/gradle-wrapper nie escapuje wartości distributionUrl odczytanej z pliku gradle/wrapper/gradle-wrapper.properties repozytorium przed wywołaniem CLI Gradle Wrapper. W instalacjach self-hosted skonfigurowanych z binarySource=docker i allowedUnsafeExecutions=['gradleWrapper', ...], repozytorium dostarczające spreparowany distributionUrl (na przykład dodające metaznak powłoki i polecenie) może spowodować wykonanie dowolnych poleceń jako użytkownik Renovate, gdy Renovate przetwarza aktualizację Gradle Wrapper. Problem naprawiono w Renovate 44.14.7; jako obejście należy usunąć 'gradleWrapper' z allowedUnsafeExecutions.
- CVE-2026-88885Wysokie
Renovate przed wersją 44.14.7 zawiera podatność command injection w menedżerze gomod podczas przetwarzania nieescapowanych parametrów depName w poleceniach aktualizacji ścieżki importu w trybie binarySource=docker. Atakujący mogą wstrzyknąć metaznaki powłoki poprzez złośliwe nazwy zależności, aby wykonać dowolne polecenia jako użytkownik Renovate podczas aktualizacji głównych wersji modułów Go z włączoną opcją postUpdateOptions gomodUpdateImportPaths.
- CVE-2026-88880Wysokie
Renovate w wersjach przed 44.11.3 nie weryfikuje miejsc docelowych nagłówka Link podczas podążania za paginacją serwera GitLab. Złośliwy serwer GitLab może wskazać w nagłówku Link adres kontrolowanej przez atakującego infrastruktury, co prowadzi do przekierowania żądań zawierających poświadczenia i ich wycieku.
- CVE-2026-76233Średnie
Renovate w wersjach od 39.53.0 do przed 40.33.0 zawiera podatność na wstrzykiwanie poleceń w menedżerze gleam, gdzie parametr depName jest dołączany do poleceń aktualizacji gleam bez odpowiedniej sanityzacji. Atakujący z prawem zapisu do repozytorium mogą stworzyć złośliwe pliki gleam.toml, aby wykonać dowolne polecenia na maszynie uruchamiającej Renovate.
Oryginalny opis (angielski, źródło NVD)
Renovate, a dependency update tool, follows pagination links supplied by the GitHub server in the HTTP `Link` header when interacting with GitHub.com, GitHub Enterprise Cloud, or GitHub Enterprise Server, and sends the credentials configured for that host to the URL given as the 'next' page. Because the pagination URL is not validated against the host originally contacted, a malicious or compromised GitHub server can return a `Link` header pointing to an attacker-controlled host and cause Renovate to disclose those credentials to it. Exploitation requires that the GitHub server Renovate talks to (as the repository host or as a datasource such as github-releases, github-tags, or git-refs) is already malicious or compromised. The issue is fixed in renovate 44.11.3 (npm and renovate/renovate container images), Mend Renovate CE/EE images and the mend-renovate-ce helm chart 15.4.0, and the mend-renovate-enterprise-edition helm chart 10.4.0. There is no workaround; the pre-existing RENOVATE_X_REBASE_PAGINATION_LINKS option disables the new host check and should only be used with servers that intentionally use different pagination hosts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS