CVE-2026-88881
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Renovate, narzędzie do aktualizacji zależności, podąża za linkami paginacji dostarczonymi przez serwer GitHub w nagłówku HTTP `Link` podczas interakcji z GitHub.com, GitHub Enterprise Cloud lub GitHub Enterprise Server i wysyła poświadczenia skonfigurowane dla tego hosta do URL-a podanego jako strona 'next'. Ponieważ URL paginacji nie jest walidowany względem hosta, z którym początkowo nawiązano kontakt, złośliwy lub przejęty serwer GitHub może zwrócić nagłówek `Link` wskazujący na host kontrolowany przez atakującego i spowodować ujawnienie mu tych poświadczeń. Wykorzystanie wymaga, aby serwer GitHub, z którym rozmawia Renovate (jako host repozytorium lub źródło danych takie jak github-releases, github-tags lub git-refs), był już złośliwy lub przejęty. Problem naprawiono w renovate 44.11.3 (obrazy npm i renovate/renovate), Mend Renovate CE/EE i mend-renovate-ce helm chart 15.4.0 oraz mend-renovate-enterprise-edition helm chart 10.4.0. Nie ma obejścia; istniejąca opcja RENOVATE_X_REBASE_PAGINATION_LINKS wyłącza nowe sprawdzenie hosta i powinna być używana tylko z serwerami, które celowo używają różnych hostów paginacji.
Ocena ryzyka
Organizacje używające Renovate z GitHub są narażone na wyciek poświadczeń GitHub do złośliwego hosta, co może prowadzić do nieautoryzowanego dostępu do repozytoriów i danych.
Rekomendacja
Należy zaktualizować Renovate do wersji 44.11.3 lub nowszej (lub odpowiednich wersji Mend Renovate CE/EE i helm chart), ponieważ nie ma obejścia tego problemu.
Inne podatności w Renovate
Zobacz wszystkie- CVE-2026-110868Wysokie
Renovate przed wersją 44.79.0 zawiera podatność server-side request forgery pozwalającą użytkownikom wymusić na współdzielonym kliencie HTTP żądania do dowolnych wewnętrznych adresów URL poprzez presety extends lub customDatasources. Atakujący może wskazać preset na endpoint usługi metadanych instancji, aby uzyskać poświadczenia AWS lub wyciec dane wrażliwe przez logi Renovate.
- CVE-2026-110867Wysokie
Renovate przed wersją 44.60.1 zawiera podatność obejścia listy dozwolonych pozwalającą repozytoriom ustawiać zastrzeżone zmienne środowiskowe poprzez umieszczenie env w współdzielonym presecie. Atakujący kontrolujący zewnętrznie pochodzący preset może nadpisać zmienne takie jak PATH, LD_PRELOAD, NODE_OPTIONS lub GIT_SSL_CAINFO w procesach potomnych na instancjach self-hosted.
- CVE-2026-110866Średnie
Renovate przed wersją 44.61.3 zawiera podatność obejścia mechanizmu ochrony, która pozwala pominąć sprawdzenia minimumReleaseAge, gdy użytkownik zażąda rebase PR przez pole wyboru rebase/retry. Atakujący publikujący złośliwą wersję zależności może doprowadzić do jej wypchnięcia do PR i uruchomienia w CI przed upływem wymaganego wieku wydania.
- CVE-2026-110865Wysokie
Renovate przed wersją 44.60.1 zawiera podatność obejścia listy dozwolonych pozwalającą użytkownikom repozytoriów ominąć ograniczenie allowedHeaders poprzez umieszczenie nagłówków hostRules w współdzielonych presetach. Atakujący może dostarczyć wewnętrzne lub zewnętrzne presety z niezwalidowanymi hostRules[].headers, aby wstrzyknąć własne nagłówki HTTP do żądań wysyłanych przez Renovate do innych hostów.
- CVE-2026-88889Wysokie
Renovate przed wersją 44.14.7 zawiera podatność command injection w menedżerze Maven Wrapper, która pozwala atakującym na wykonanie dowolnych poleceń poprzez podanie złośliwego parametru distributionType w pliku maven-wrapper.properties. Atakujący mogą wstrzyknąć polecenia powłoki poprzez nieescapowane wartości distributionType, aby uzyskać zdalne wykonanie kodu, gdy Renovate przetwarza aktualizacje Maven Wrapper w trybie binarySource=docker.
- CVE-2026-88888Wysokie
Renovate przed wersją 44.14.7 zawiera podatność command injection w menedżerze Mix podczas przetwarzania prywatnych zależności z nieescapowanymi parametrami organizacji. Atakujący mogą wstrzyknąć metaznaki powłoki poprzez złośliwe nazwy pakietów, aby wykonać dowolne polecenia jako użytkownik Renovate w trybie binarySource=docker.
- CVE-2026-88887Wysokie
Renovate to narzędzie do automatyzacji aktualizacji zależności. Podczas listowania tagów/digestów dla obrazu kontenera Renovate podąża za linkami paginacji dostarczonymi przez zdalny rejestr w nagłówku HTTP Link i dołącza poświadczenia rejestru do żądania follow-up bez weryfikacji, czy URL paginacji ma to samo pochodzenie co oryginalny rejestr. Złośliwy lub przejęty rejestr kontenerów może zatem wskazać nagłówek Link na host kontrolowany przez atakującego i otrzymać poświadczenia Renovate używane dla tego rejestru. Wykorzystanie wymaga, aby cel miał zależności kontenerowe (Docker) i już wchodził w interakcję ze złośliwym lub przejętym rejestrem. Naprawiono w Renovate 44.11.2 (obrazy npm i renovate/renovate), Mend Renovate CE/EE 15.4.0 oraz mend-renovate-enterprise-edition Helm chart 10.4.0; sprawdzenie tego samego pochodzenia można wyłączyć za pomocą RENOVATE_X_DOCKER_PAGINATION_ALLOW_CROSS_ORIGIN.
- CVE-2026-88886Wysokie
Renovate to narzędzie do automatyzacji aktualizacji zależności. W wersjach przed 44.14.7 (oraz w dystrybucjach Mend Renovate CE/EE przed 15.4.0 i mend-renovate-enterprise-edition Helm chart przed 10.4.0) moduł manager/gradle-wrapper nie escapuje wartości distributionUrl odczytanej z pliku gradle/wrapper/gradle-wrapper.properties repozytorium przed wywołaniem CLI Gradle Wrapper. W instalacjach self-hosted skonfigurowanych z binarySource=docker i allowedUnsafeExecutions=['gradleWrapper', ...], repozytorium dostarczające spreparowany distributionUrl (na przykład dodające metaznak powłoki i polecenie) może spowodować wykonanie dowolnych poleceń jako użytkownik Renovate, gdy Renovate przetwarza aktualizację Gradle Wrapper. Problem naprawiono w Renovate 44.14.7; jako obejście należy usunąć 'gradleWrapper' z allowedUnsafeExecutions.
- CVE-2026-88885Wysokie
Renovate przed wersją 44.14.7 zawiera podatność command injection w menedżerze gomod podczas przetwarzania nieescapowanych parametrów depName w poleceniach aktualizacji ścieżki importu w trybie binarySource=docker. Atakujący mogą wstrzyknąć metaznaki powłoki poprzez złośliwe nazwy zależności, aby wykonać dowolne polecenia jako użytkownik Renovate podczas aktualizacji głównych wersji modułów Go z włączoną opcją postUpdateOptions gomodUpdateImportPaths.
- CVE-2026-88884Średnie
Renovate w wersjach przed 44.3.1 (oraz obrazy Mend Renovate CE/EE przed 15.4.0, helm chart mend-renovate-ce przed 15.4.0 i mend-renovate-enterprise-edition przed 10.4.0) nie stosuje wewnętrznego sprawdzania minimalnego wieku wydania (minimumReleaseAge) do aktualizacji typu digest. Gdy repozytorium ma skonfigurowane minimumReleaseAge i zależności z updateType=digest (np. GitHub Actions przypięte do SHA, obrazy Docker, moduły Go, pakiety NuGet), Renovate nadal otwiera pull request dla nowo opublikowanego digestu, oznaczając go jedynie statusem renovate/stability-days.
Oryginalny opis (angielski, źródło NVD)
Renovate, a dependency update tool, follows pagination links supplied by the GitHub server in the HTTP `Link` header when interacting with GitHub.com, GitHub Enterprise Cloud, or GitHub Enterprise Server, and sends the credentials configured for that host to the URL given as the 'next' page. Because the pagination URL is not validated against the host originally contacted, a malicious or compromised GitHub server can return a `Link` header pointing to an attacker-controlled host and cause Renovate to disclose those credentials to it. Exploitation requires that the GitHub server Renovate talks to (as the repository host or as a datasource such as github-releases, github-tags, or git-refs) is already malicious or compromised. The issue is fixed in renovate 44.11.3 (npm and renovate/renovate container images), Mend Renovate CE/EE images and the mend-renovate-ce helm chart 15.4.0, and the mend-renovate-enterprise-edition helm chart 10.4.0. There is no workaround; the pre-existing RENOVATE_X_REBASE_PAGINATION_LINKS option disables the new host check and should only be used with servers that intentionally use different pagination hosts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS