CVE-2026-88883 in Renovate
Tóm tắt
Bởi VulDB • 10/09/2026
Renovate là một công cụ tự động cập nhật các phụ thuộc (dependency). Trong các phiên bản trước 44.14.4 (và các hình ảnh Mend Renovate CE/EE trước 15.4.0 cũng như Helm chart mend-renovate-enterprise-edition trước 10.4.0), việc làm sạch log cho khóa riêng TLS được sử dụng trong Mutual TLS là không đầy đủ. Mặc dù giá trị của `hostRules[].httpsPrivateKey` đã bị che khuất (redacted) tại chính trường đó, nhưng cùng một giá trị khóa riêng này lại không được che khuất nếu nó xuất hiện ở những nơi khác — chẳng hạn như trong một tùy chọn cấu hình khác hoặc trong tin nhắn log dưới một khóa khác với `httpsPrivateKey` — dẫn đến việc toàn bộ khóa riêng bị ghi vào log của Renovate dưới dạng văn bản rõ (cleartext). Điều này ảnh hưởng đến các triển khai định cấu hình Mutual TLS thông qua `hostRules[].httpsPrivateKey` mà không truyền giá trị đó qua cấu hình `secrets` được tài liệu hóa. Bất kỳ ai có khả năng đọc các log kết quả đều có thể khôi phục khóa riêng. Vấn đề đã được khắc phục trong Renovate 44.14.4, phiên bản che khuất mọi giá trị cung cấp dưới dạng `hostRules[].httpsPrivateKey` bất kể nó xuất hiện ở đâu trong log; như một giải pháp tạm thời (workaround), hãy cung cấp khóa thông qua cấu hình `secrets`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.