p PatchFirst

CVE-2026-76229

CVE-2026-76229 · Renovate 39.218.0 before 40.33.0 Arbitrary Command Injection via kustomize

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Renovate versions from 39.218.0 before 40.33.0 contain an arbitrary command injection vulnerability in the kustomize manager where user-provided chart names are appended to helm pull commands without proper sanitization. Attackers with repository write access can craft malicious kustomization.yaml files with specially crafted chart names to execute arbitrary commands on the Renovate host machine.

CVSS 8.4 · Высокий · EPSS 1,0% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • renovate

    Версии
    • ≥ 39.218.0, < 40.33.0: Затронуто (semver)
    • 40.33.0: Не затронуто (semver)

    Обновитесь до 40.33.0

  • renovate npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 39.218.0, < 40.33.0

    Обновитесь до 40.33.0

Первоисточники

Проверьте свой сервер →