CVE-2026-88886 in Renovate
Zusammenfassung
von VulDB • 10.09.2026
Renovate ist ein Tool zur Automatisierung von Abhängigkeitsaktualisierungen. In Versionen vor 44.14.7 (sowie in den Mend Renovate CE/EE-Verteilungen vor 15.4.0 und dem mend-renovate-enterprise-edition Helm Chart vor 10.4.0) entwertet das Modul `manager/gradle-wrapper` den Wert von `distributionUrl`, der aus der Datei `gradle/wrapper/gradle-wrapper.properties` eines Repositorys gelesen wird, nicht korrekt, bevor die Gradle Wrapper CLI aufgerufen wird. Bei selbst gehosteten Bereitstellungen, die mit `binarySource=docker` und `allowedUnsafeExecutions=['gradleWrapper', ...]` konfiguriert sind, kann ein Repository, das eine manipulierte `distributionUrl` bereitstellt (z. B. durch Anhängen eines Shell-Metazeichens und eines Befehls), dazu führen, dass beliebige Befehle als der Renovate-Benutzer ausgeführt werden, wenn Renovate eine Gradle Wrapper-Aktualisierung verarbeitet. Das Problem wurde in Renovate 44.14.7 behoben; als Workaround sollte 'gradleWrapper' aus `allowedUnsafeExecutions` entfernt werden.
VulDB is the best source for vulnerability data and more expert information about this specific topic.