CVE-2026-76227
ŚrednieCVSS 5.5Streszczenie
Renovate w wersjach od 42.68.1 przed 42.96.3 (oraz od 42.68.1 przed 43.4.4), w tym odpowiadające obrazy Docker (renovate/renovate, mend/renovate-ce, renovate-ee-server, renovate-ee-worker >=13.3.0 <13.6.0), nie ograniczają zmiennych środowiskowych do listy dozwolonych podczas uruchamiania procesów potomnych. W rezultacie procesy potomne (np. npm install, postUpgradeTasks, postUpdateOptions) uzyskują pełny dostęp do wszystkich zmiennych środowiskowych procesu Renovate, co pozwala atakującym wewnętrznym lub zewnętrznym na eksfiltrację sekretów dostępnych dla wdrożenia Renovate.
Ocena ryzyka
Ryzyko wycieku wrażliwych danych, takich jak tokeny, hasła i klucze API, które mogą być wykorzystane do dalszych ataków na infrastrukturę.
Rekomendacja
Zaktualizuj Renovate do wersji 42.96.3 lub nowszej (lub 43.4.4 dla nowszej linii) oraz odpowiednie obrazy Docker do wersji zawierających poprawkę.
Oryginalny opis (angielski, źródło NVD)
Renovate versions from 42.68.1 before 42.96.3 (and from 42.68.1 before 43.4.4), including corresponding Docker images (renovate/renovate, mend/renovate-ce, renovate-ee-server, renovate-ee-worker >=13.3.0 <13.6.0), fail to restrict environment variables to an allowlist when spawning child processes. As a result, child processes (e.g. npm install, postUpgradeTasks, postUpdateOptions) gain full access to all environment variables of the Renovate process, allowing insider or outside attackers to exfiltrate secrets accessible to the Renovate deployment.