CVE-2026-88881

Asılılıqları yeniləmə aləti olan Renovate, GitHub.com, GitHub Enterprise Cloud və ya GitHub Enterprise Server ilə qarşılıqlı əlaqədə olduqda GitHub serveri tərəfindən HTTP `Link` başlığında təmin edilən səhifələmə linklərini izləyir və həmin host üçün konfiqurasiya edilmiş etibarlılıq məlumatlarını (credentials) 'next' səhifəsi kimi göstərilən URL-ə göndərir. Səhifələmə URL-i ilkin əlaqə qurulan hosta nisbətən yoxlanılmadığı üçün, zərərli və ya kompromisə uğramış GitHub serveri hücumçunun nəzarətində olan hosta yönləndirən `Link` başlığı qaytara bilər və bununla da Renovate-in həmin etibarlılıq məlumatlarını ifşa etməsinə səbəb ola bilər. İstismar üçün Renovate-in əlaqə saxladığı GitHub serverinin (repozitoriya hostu kimi və ya github-releases, github-tags və ya git-refs kimi məlumat mənbəyi kimi) artıq zərərli olması və ya kompromisə uğramış olması tələb olunur. Problem renovate 44.11.3 (npm və renovate/renovate konteyner imicləri), Mend Renovate CE/EE imicləri və mend-renovate-ce helm chart 15.4.0, həmçinin mend-renovate-enterprise-edition helm chart 10.4.0 versiyalarında düzəldilmişdir. Heç bir alternativ həll yolu yoxdur; mövcud RENOVATE_X_REBASE_PAGINATION_LINKS seçimi yeni host yoxlamasını deaktiv edir və yalnız qəsdən fərqli səhifələmə hostlarından istifadə edən serverlərlə tətbiq edilməlidir.