CVE-2026-110867
CVE-2026-110867 · Renovate before 44.60.1 allowedEnv Allowlist Bypass via Shared Preset
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Renovate before 44.60.1 contains an allowlist bypass vulnerability that allows repositories to set restricted environment variables by placing env inside a shared preset. Attackers controlling an externally sourced preset can override variables like PATH, LD_PRELOAD, NODE_OPTIONS, or GIT_SSL_CAINFO in child processes on self-hosted instances.
CVSS 9.0 · Critique · EPSS 0,3% · Correctif disponible
- Publication
- Mise à jour
Produits et versions concernés
renovate
- Versions du logiciel
- ≥ 0, < 44.60.1: Concernée (semver)
Mettez à jour vers 44.60.1
renovate-ce
- Versions du logiciel
- ≥ 0, < 15.5.0: Concernée (semver)
Mettez à jour vers 15.5.0
renovate-ee-server
- Versions du logiciel
- ≥ 0, < 15.5.0: Concernée (semver)
Mettez à jour vers 15.5.0
renovate-ee-worker
- Versions du logiciel
- ≥ 0, < 15.5.0: Concernée (semver)
Mettez à jour vers 15.5.0
mend-renovate-ce helm chart
- Versions du logiciel
- ≥ 0, < 15.5.0: Concernée (semver)
Mettez à jour vers 15.5.0
mend-renovate-enterprise-edition helm chart
- Versions du logiciel
- ≥ 0, < 10.5.0: Concernée (semver)
Mettez à jour vers 10.5.0
Sources originales
- https://github.com/renovatebot/renovate/security/advisories/GHSA-6873-xr44-22vm
- https://www.vulncheck.com/advisories/renovate-before-44.60.1-allowedenv-allowlist-bypass-via-shared-preset
- https://github.com/nodemailer/nodemailer/security/advisories/GHSA-4g23-2xm8-66gc
- https://nvd.nist.gov/vuln/detail/CVE-2026-110867