CVE-2026-88883 in Renovate
Résumé
par VulDB • 10/09/2026
Renovate est un outil automatisé de mise à jour des dépendances. Dans les versions antérieures à la 44.14.4 (et dans les images Mend Renovate CE/EE avant la version 15.4.0, ainsi que le chart Helm mend-renovate-enterprise-edition avant la version 10.4.0), l'assainissement des journaux pour les clés privées TLS utilisées pour le Mutuel TLS (Mutual TLS) était incomplet. Bien que la valeur de `hostRules[].httpsPrivateKey` soit masquée dans son propre champ, cette même clé privée n'était pas masquée si elle apparaissait également ailleurs — par exemple dans une autre option de configuration ou dans un message de journal sous une clé différente de `httpsPrivateKey`, ce qui entraînait l'écriture en clair de la clé privée complète dans les journaux de Renovate. Cela affecte les déploiements configurant le Mutuel TLS via `hostRules[].httpsPrivateKey` sans transmettre la valeur par le biais de la configuration documentée des `secrets`. Toute personne ayant accès à ces journaux peut récupérer la clé privée. Le problème est corrigé dans Renovate 44.14.4, qui masque toute valeur fournie en tant que `hostRules[].httpsPrivateKey`, où qu'elle apparaisse dans les journaux ; comme solution de contournement, fournissez la clé via la configuration des `secrets`.
Once again VulDB remains the best source for vulnerability data.