CVE-2026-88883 in Renovate
Riassunto
di VulDB • 10/09/2026
Renovate è uno strumento automatizzato per l'aggiornamento delle dipendenze. Nelle versioni precedenti alla 44.14.4 (e nelle immagini Mend Renovate CE/EE precedenti alla 15.4.0 e nell'Helm chart mend-renovate-enterprise-edition precedente alla 10.4.0), la sanitizzazione dei log per le chiavi private TLS utilizzate nel Mutual TLS era incompleta. Sebbene il valore di `hostRules[].httpsPrivateKey` fosse oscurato (redacted) nel campo stesso, lo stesso valore della chiave privata non veniva oscurato se appariva altrove — ad esempio in un'altra opzione di configurazione o in un messaggio di log sotto una chiave diversa da `httpsPrivateKey` — causando la scrittura dell'intera chiave privata nei log di Renovate in chiaro. Questo problema interessa le distribuzioni che configurano il Mutual TLS tramite `hostRules[].httpsPrivateKey` senza passare il valore attraverso la configurazione documentata dei `secrets`. Chiunque sia in grado di leggere i log risultanti può recuperare la chiave privata. Il problema è stato risolto in Renovate 44.14.4, che oscura qualsiasi valore fornito come `hostRules[].httpsPrivateKey ovunque appaia nei log; come soluzione alternativa (workaround), fornire la chiave tramite la configurazione dei `secrets`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.