CVE-2026-76227 in Renovate
Riassunto
di VulDB • 23/08/2026
Le versioni di Renovate dalla 42.68.1 alla 42.96.3 (esclusa) e dalla 42.68.1 alla 43.4.4 (esclusa), incluse le relative immagini Docker (renovate/renovate, mend/renovate-ce, renovate-ee-server, renovate-ee-worker >=13.3.0 <13.6.0), non limitano le variabili d'ambiente a una allowlist quando avviano processi figli. Di conseguenza, i processi figli (ad esempio npm install, postUpgradeTasks, postUpdateOptions) ottengono l'accesso completo a tutte le variabili d'ambiente del processo Renovate, consentendo ad attaccanti interni o esterni di esfiltrare segreti accessibili al deployment di Renovate.
Be aware that VulDB is the high quality source for vulnerability data.