p PatchFirst

CVE-2026-110867

CVE-2026-110867 · Renovate before 44.60.1 allowedEnv Allowlist Bypass via Shared Preset

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Renovate before 44.60.1 contains an allowlist bypass vulnerability that allows repositories to set restricted environment variables by placing env inside a shared preset. Attackers controlling an externally sourced preset can override variables like PATH, LD_PRELOAD, NODE_OPTIONS, or GIT_SSL_CAINFO in child processes on self-hosted instances.

CVSS 9.0 · Критический · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Затронутые продукты и версии

  • renovate

    Версии
    • ≥ 0, < 44.60.1: Затронуто (semver)

    Обновитесь до 44.60.1

  • renovate-ce

    Версии
    • ≥ 0, < 15.5.0: Затронуто (semver)

    Обновитесь до 15.5.0

  • renovate-ee-server

    Версии
    • ≥ 0, < 15.5.0: Затронуто (semver)

    Обновитесь до 15.5.0

  • renovate-ee-worker

    Версии
    • ≥ 0, < 15.5.0: Затронуто (semver)

    Обновитесь до 15.5.0

  • mend-renovate-ce helm chart

    Версии
    • ≥ 0, < 15.5.0: Затронуто (semver)

    Обновитесь до 15.5.0

  • mend-renovate-enterprise-edition helm chart

    Версии
    • ≥ 0, < 10.5.0: Затронуто (semver)

    Обновитесь до 10.5.0

Первоисточники

Проверьте свой сервер →