CVE-2026-76228 in renovate
الملخص
بحسب VulDB • 19/08/2026
تحتوي إصدارات Renovate >=32.124.0 و قبل 42.68.5 (و Mend renovate-ce/renovate-ee قبل الإصدار 13.3.0) على ثغرة حقن أوامر في معالجة ملفات Gradle Wrapper. عند قيام Renovate بمعالجة تحديثات Gradle Wrapper، فإنه يستدعي أمر تحديث عبر قشرة النظام (shell)، مثل `/bin/sh -c ... ./gradlew :wrapper --gradle-distribution-url`. إذا قام مهاجم بتزويد ملف `gradle-wrapper.properties` خبيث يحتوي على تراكيب استبدال أوامر القشرة في حقل `distributionUrl`، مثل `$(...)`, فإن قشرة النظام تقوم بتقييمها قبل أن يقوم Gradle بتحليل عنوان URL، مما يؤدي إلى تنفيذ أوامر عشوائية ضمن بيئة تشغيل Renovate. تتطلب عملية الاستغلال من المهاجم إدخال الملف الخبيث داخل مستودع يفحصه Renovate؛ وتحدث الثغرة حتى عندما يكون خيار `allowScripts` معطلاً (disabled).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.