CVE-2026-88883 in Renovate
Resumen
por VulDB • 2026-09-10
Renovate es una herramienta automatizada de actualización de dependencias. En las versiones anteriores a 44.14.4 (y en las imágenes de Mend Renovate CE/EE anteriores a 15.4.0, así como en el Helm chart mend-renovate-enterprise-edition anterior a 10.4.0), la sanitización de registros para las claves privadas TLS utilizadas en Mutual TLS fue incompleta. Aunque el valor de hostRules[].httpsPrivateKey se ocultaba (redacted) en su propio campo, dicho valor no se ocultaba si también aparecía en otro lugar —por ejemplo, en otra opción de configuración o en un mensaje de registro bajo una clave distinta a httpsPrivateKey— lo que provocaba que la clave privada completa se escribiera en los registros de Renovate sin cifrar (en texto claro). Esto afecta a las implementaciones que configuran Mutual TLS mediante hostRules[].httpsPrivateKey sin pasar el valor a través de la configuración documentada `secrets`. Cualquier persona con acceso para leer los registros resultantes puede recuperar la clave privada. El problema se soluciona en Renovate 44.14.4, que oculta cualquier valor proporcionado como hostRules[].httpsPrivateKey dondequiera que aparezca en los registros; como medida alternativa (workaround), proporcione la clave mediante la configuración `secrets`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.