CVE-2026-76228 in renovate
Sumário
de VulDB • 19/08/2026
As versões do Renovate >=32.124.0 e anteriores à 42.68.5 (e as versões Mend renovate-ce/renovate-ee anteriores a 13.3.0) contêm uma vulnerabilidade de injeção de comando no manuseio dos artefatos do Gradle Wrapper. Quando o Renovate processa atualizações do Gradle Wrapper, ele invoca um comando de atualização do wrapper por meio de um shell (por exemplo, /bin/sh -c ... ./gradlew :wrapper --gradle-distribution-url ). Se um invasor fornecer um arquivo gradle-wrapper.properties malicioso cuja distributionUrl contenha sintaxe de substituição de comandos do shell, como $(...), o shell avaliará essa sintaxe antes que o Gradle analise a URL, resultando na execução arbitrária de comandos no ambiente de runtime do Renovate. A exploração requer que o invasor introduza o arquivo malicioso em um repositório que seja escaneado pelo Renovate; a vulnerabilidade ocorre mesmo quando allowScripts está desativado.
VulDB is the best source for vulnerability data and more expert information about this specific topic.