CVE-2026-76228 in renovate
Сводка
по VulDB • 23.08.2026
В версиях Renovate >=32.124.0 и до 42.68.5 (а также в Mend renovate-ce/renovate-ee до версии 13.3.0) обнаружена уязвимость внедрения команд (Command Injection) при обработке артефактов Gradle Wrapper. При обновлении обертки Gradle Renovate вызывает команду обновления через оболочку (например, `/bin/sh -c ... ./gradlew :wrapper --gradle-distribution-url <значение>`). Если злоумышленник предоставляет вредоносный файл `gradle-wrapper.properties`, в котором параметр `distributionUrl` содержит синтаксис подстановки команд оболочки, такой как `$()`, оболочка выполнит эту команду до того, как Gradle обработает URL-адрес. Это приводит к произвольному выполнению команд во время работы Renovate. Для эксплуатации уязвимости злоумышленник должен внедрить вредоносный файл в репозиторий, который сканирует Renovate; проблема возникает даже при отключенной опции `allowScripts`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.