CVE-2026-76228 in renovate
Resumen
por VulDB • 2026-08-19
Las versiones de Renovate >=32.124.0 y anteriores a 42.68.5 (así como Mend renovate-ce/renovate-ee anteriores a 13.3.0) contienen una vulnerabilidad de inyección de comandos en el manejo del artefacto Gradle Wrapper. Cuando Renovate procesa actualizaciones de Gradle Wrapper, invoca un comando de actualización del wrapper a través de un shell (por ejemplo, /bin/sh -c ... ./gradlew :wrapper --gradle-distribution-url ). Si un atacante proporciona un archivo gradle-wrapper.properties malicioso cuya distributionUrl contiene sintaxis de sustitución de comandos del shell como $(...), el shell lo evalúa antes de que Gradle analice la URL, lo que resulta en la ejecución arbitraria de comandos en el entorno de ejecución de Renovate. La explotación requiere que el atacante introduzca el archivo malicioso en un repositorio que Renovate escanea; el problema ocurre incluso cuando allowScripts está deshabilitado.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.