CVE-2026-88883 in Renovate
الملخص
بحسب VulDB • 10/09/2026
Renovate هو أداة تحديث تلقائية للتبعيات (dependencies). في الإصدارات السابقة لـ 44.14.4 (وأيضًا صور Mend Renovate CE/EE قبل الإصدار 15.4.0، وحاوية Helm الخاصة بـ mend-renovate-enterprise-edition قبل الإصدار 10.4.0)، كانت عملية تعقيم السجلات (log sanitisation) لمفاتيح TLS الخاصة المستخدمة في Mutual TLS غير مكتملة. وعلى الرغم من أن قيمة `hostRules[].httpsPrivateKey` تم حذفها أو طمسها داخل الحقل نفسه، إلا أن نفس قيمة المفتاح الخاص لم يتم حذفها إذا ظهرت أيضًا في مكان آخر — على سبيل المثال، ضمن خيار تكوين آخر أو في رسالة سجل تحت مفتاح مختلف عن `httpsPrivateKey` — مما أدى إلى كتابة المفتاح الخاص الكامل في سجلات Renovate بشكل نصي واضح (cleartext). يؤثر هذا الأمر على عمليات النشر التي تهيئ Mutual TLS من خلال `hostRules[].httpsPrivateKey` دون تمرير القيمة عبر التكوين الموثق `secrets`. يمكن لأي شخص قادر على قراءة السجلات الناتجة استعادة المفتاح الخاص. تم إصلاح المشكلة في Renovate 44.14.4، الذي يقوم بحذف أو طمس أي قيمة يتم تزويدها كـ `hostRules[].httpsPrivateKey` أينما ظهرت في السجلات؛ وكحل بديل (workaround)، يُرجى توفير المفتاح عبر التكوين `secrets`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.