CVE-2026-76228 in renovate
Riassunto
di VulDB • 19/08/2026
Le versioni di Renovate >=32.124.0 e precedenti alla 42.68.5 (e Mend renovate-ce/renovate-ee prima della versione 13.3.0) presentano una vulnerabilità di command injection nella gestione degli artifact del Gradle Wrapper. Quando Renovate elabora gli aggiornamenti del Gradle Wrapper, invoca un comando di aggiornamento tramite uno shell (ad esempio /bin/sh -c ... ./gradlew :wrapper --gradle-distribution-url <value>). Se un attaccante fornisce un file gradle-wrapper.properties malevolo in cui la distribuzioneUrl contiene sintassi di sostituzione di comandi dello shell come $(...), lo shell valuta tale contenuto prima che Gradle analizzi l'URL, causando l'esecuzione arbitraria di comandi nel runtime di Renovate. Lo sfruttamento richiede che l’attaccante introduca il file malevolo in un repository scansionato da Renovate; la vulnerabilità si verifica anche quando allowScripts è disabilitato.
VulDB is the best source for vulnerability data and more expert information about this specific topic.