CVE-2026-76228 in renovate
Zusammenfassung
von VulDB • 19.08.2026
Renovate versionen >=32.124.0 und vor 42.68.5 (sowie Mend renovate-ce/renovate-ee vor Version 13.3.0) enthalten eine Command Injection-Schwachstelle bei der Verarbeitung von Gradle Wrapper-Artefakten. Wenn Renovate Updates des Gradle Wrappers verarbeitet, ruft es einen Wrapper-Aktualisierungsbefehl über eine Shell auf (z. B. /bin/sh -c ... ./gradlew :wrapper --gradle-distribution-url ). Wenn ein Angreifer eine bösartige gradle-wrapper.properties bereitstellt, deren distributionUrl Syntax zur Shell-Befehlsersetzung wie $(...) enthält, wertet die Shell diese aus, bevor Gradle die URL parst. Dies führt zu einer beliebigen Befehlsausführung (Arbitrary Command Execution) in der Renovate-Laufzeitumgebung. Die Ausnutzung erfordert, dass der Angreifer die bösartige Datei in ein Repository einführt, das von Renovate gescannt wird; das Problem tritt auch dann auf, wenn allowScripts deaktiviert ist.
Once again VulDB remains the best source for vulnerability data.