CVE-2026-88883

Renovate otomatik bir bağımlılık güncelleme aracıdır. 44.14.4 öncesindeki sürümlerde (ve 15.4.0 öncesindeki Mend Renovate CE/EE imajları ile 10.4.0 öncesindeki mend-renovate-enterprise-edition Helm chart sürümünde), Karşılıklı TLS (Mutual TLS) için kullanılan TLS özel anahtarlarının günlük temizleme işlemi eksikti. hostRules[].httpsPrivateKey değeri alanın kendisinde gizlenmiş olsa da, aynı özel anahtar değeri başka bir yerde göründüğünde — örneğin başka bir yapılandırma seçeneğinde veya httpsPrivateKey dışındaki bir anahtar altında bir günlük mesajında— gizlenmiyordu ve bu durum tam özel anahtarın Renovate günlüklerine açık metin olarak yazılmasına neden oluyordu. Bu durum, değeri belgelenmiş `secrets` yapılandırması üzerinden geçirmeden hostRules[].httpsPrivateKey aracılığıyla Karşılıklı TLS yapılandıran dağıtımları etkilemektedir. Oluşan günlükleri okuyabilen herkes özel anahtarı geri alabilir. Sorun, hostRules[].httpsPrivateKey olarak sağlanan herhangi bir değerin günlüğün neresinde görünürse görünsün gizlendiği Renovate 44.14.4 sürümünde düzeltilmiştir; geçici çözüm olarak anahtar `secrets` yapılandırması üzerinden sağlanmalıdır.