CVE-2026-88886 in Renovate
요약
\~에 의해 VulDB • 2026. 09. 10.
Renovate는 의존성 업데이트 자동화 도구입니다. 버전 44.14.7 이전(그리고 Mend Renovate CE/EE 배포판에서는 15.4.0 미만, mend-renovate-enterprise-edition Helm 차트에서는 10.4.0 미만)에서 manager/gradle-wrapper 모듈은 Gradle Wrapper CLI를 호출하기 전에 저장소의 gradle/wrapper/gradle-wrapper.properties 파일에서 읽은 distributionUrl 값을 이스케이프하지 않습니다. binarySource=docker 및 allowedUnsafeExecutions=['gradleWrapper', ...]로 구성된 자체 호스팅 배포 환경에서는, 악의적으로 조작된 distributionUrl(예: 셸 메타문자 및 명령어 추가)을 제공하는 저장소가 Renovate가 Gradle Wrapper 업데이트를 처리할 때 Renovate 사용자로 임의의 명령이 실행되도록 할 수 있습니다. 이 문제는 Renovate 44.14.7에서 수정되었습니다. 우회 조치로 allowedUnsafeExecutions에서 'gradleWrapper'를 제거하십시오.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.