CVE-2026-76227
CVE-2026-76227 · Renovate 42.68.1 before 42.96.3 and 43.0.0 before 43.4.4 Environment Variable Exposure
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Renovate versions from 42.68.1 before 42.96.3 and from 43.0.0 before 43.4.4, including the renovate/renovate Docker images, and Mend Renovate CE/EE images (renovate-ce, renovate-ee-server, renovate-ee-worker) from 13.3.0 before 13.6.0, fail to restrict environment variables to an allowlist when spawning child processes. As a result, child processes (e.g. npm install, postUpgradeTasks, postUpdateOptions) gain full access to all environment variables of the Renovate process, allowing insider or outside attackers to exfiltrate secrets accessible to the Renovate deployment.
CVSS 6.8 · Mittel · EPSS 0,2% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
renovate
- Softwareversionen
- ≥ 42.68.1, < 42.96.3: Betroffen (semver)
- 42.96.3: Nicht betroffen (semver)
- ≥ 43.0.0, < 43.4.4: Betroffen (semver)
- 43.4.4: Nicht betroffen (semver)
Auf 42.96.3 aktualisieren; Auf 43.4.4 aktualisieren
renovate-ce
- Softwareversionen
- ≥ 13.3.0, < 13.6.0: Betroffen (semver)
- 13.6.0: Nicht betroffen (semver)
Auf 13.6.0 aktualisieren
renovate-ee-server
- Softwareversionen
- ≥ 13.3.0, < 13.6.0: Betroffen (semver)
- 13.6.0: Nicht betroffen (semver)
Auf 13.6.0 aktualisieren
renovate-ee-worker
- Softwareversionen
- ≥ 13.3.0, < 13.6.0: Betroffen (semver)
- 13.6.0: Nicht betroffen (semver)
Auf 13.6.0 aktualisieren
renovate npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 42.68.1, < 42.96.3
Auf 42.96.3 aktualisieren
renovate npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 43.0.0, < 43.4.4
Auf 43.4.4 aktualisieren