CVE-2026-76228

Renovate sürümleri >=32.124.0 ve 42.68.5 öncesi (ve Mend renovate-ce/renovate-ee 13.3.0 öncesi), Gradle Wrapper yapıt işlemede bir komut enjeksiyonu güvenlik açığı içerir. Renovate, Gradle Wrapper güncellemelerini işlerken bir kabuk aracılığıyla bir wrapper güncelleme komutu çağırır (ör. /bin/sh -c ... ./gradlew :wrapper --gradle-distribution-url <value>). Bir saldırgan, distributionUrl değeri $(...) gibi kabuk komut değiştirme sözdizimi içeren kötü amaçlı bir gradle-wrapper.properties sağlarsa, kabuk bunu Gradle URL'yi ayrıştırmadan önce değerlendirir ve Renovate çalışma zamanında rastgele komut çalıştırılmasıyla sonuçlanır. Sömürü, saldırganın kötü amaçlı dosyayı Renovate'in taradığı bir depoya sokmasını gerektirir; sorun allowScripts devre dışı bırakıldığında bile ortaya çıkar.