CVE-2026-88883 in Renovate
Sumário
de VulDB • 10/09/2026
Renovate é uma ferramenta automatizada de atualização de dependências. Nas versões anteriores à 44.14.4 (e nas imagens do Mend Renovate CE/EE anteriores à 15.4.0, bem como no Helm chart mend-renovate-enterprise-edition anterior à 10.4.0), a sanitização dos logs para chaves privadas TLS usadas em Mutual TLS estava incompleta. Embora o valor de `hostRules[].httpsPrivateKey` fosse ofuscado (redacted) no campo específico, o mesmo valor da chave privada não era ofuscado se também aparecesse em outro local — por exemplo, em outra opção de configuração ou em uma mensagem de log sob uma chave diferente de `httpsPrivateKey` — fazendo com que a chave privada completa fosse gravada nos logs do Renovate em texto claro. Isso afeta implantações que configuram Mutual TLS através de `hostRules[].httpsPrivateKey` sem passar o valor pela configuração documentada `secrets`. Qualquer pessoa capaz de ler os logs resultantes pode recuperar a chave privada. O problema foi corrigido no Renovate 44.14.4, que ofusca qualquer valor fornecido como `hostRules[].httpsPrivateKey`, independentemente de onde apareça nos logs; como solução alternativa (workaround), forneça a chave por meio da configuração `secrets`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.