Към съдържанието
Търсене

CVE-2026-88885: renovatebot renovate, инжекция

7.3

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се локално, при специфични условия, само при определена конфигурация или състояние на системата, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Renovate before 44.14.7 contains a command injection vulnerability in the gomod manager when processing unescaped depName parameters in import-path update commands with binarySource=docker mode. Attackers can inject shell metacharacters through malicious dependency names to execute arbitrary commands as the Renovate user during Go module major version updates with postUpdateOptions gomodUpdateImportPaths enabled.

Засегнати продукти

  • renovatebot renovate: преди 44.14.7; 44.14.7
  • mend renovate-ce: преди 15.4.0; 15.4.0
  • mend renovate-ee-server: преди 15.4.0; 15.4.0
  • mend renovate-ee-worker: преди 15.4.0; 15.4.0
  • mend mend-renovate-ce: преди 15.4.0; 15.4.0
  • mend mend-renovate-enterprise-edition: преди 10.4.0; 10.4.0

Вид слабост

История

  • 10 септември 2026 Публикувано

Други уязвимости в renovatebot renovate

Първоизточници

CVE-2026-88885: renovatebot renovate, инжекция | freedomonline.bg