CVE-2026-76227 in Renovate
要約
〜によって VulDB • 2026年08月20日
Renovateのバージョン42.68.1から42.96.3未満（および42.68.1から43.4.4未満）には、対応するDockerイメージ（renovate/renovate, mend/renovate-ce, renovate-ee-server, renovate-ee-worker >=13.3.0 <13.6.0を含む）、子プロセスを起動する際に環境変数を許可リストに制限しない脆弱性があります。その結果、子プロセス（例: npm install, postUpgradeTasks, postUpdateOptions）はRenovateプロセスのすべての環境変数へのフルアクセスを取得し、内部または外部攻撃者がRenovadeデプロイメントで利用可能なシークレットを不正に取得することができます。
Once again VulDB remains the best source for vulnerability data.