CVE-2026-88885
Yüksek
Açıklama
44.14.7 öncesindeki Renovate, binarySource=docker modundaki import-path güncelleme komutlarında kaçış karakterleri uygulanmamış depName parametrelerini işlerken gomod yöneticisinde bir komut enjeksiyonu zafiyeti içermektedir. Saldırganlar, postUpdateOptions gomodUpdateImportPaths etkinleştirilmiş Go modülü ana sürüm güncellemeleri sırasında, kötü niyetli bağımlılık adları aracılığıyla kabuk meta karakterleri enjekte ederek Renovate kullanıcısı olarak rastgele komutlar çalıştırabilirler.
ÖnemYüksek
CVSS7.0
İstismar olasılığı—
ÜrünRenovate
Yayın10 Eyl 2026
İlk görülme10 Eyl 2026
Zayıflık türüCWE-78İşletim sistemi komut enjeksiyonu
Nasıl düzeltilir
Güncelleyin
- renovatebot renovate44.14.7 ya da sonraki bir sürüm
- mend renovate-ce15.4.0 ya da sonraki bir sürüm
- mend renovate-ee-server15.4.0 ya da sonraki bir sürüm
- mend renovate-ee-worker15.4.0 ya da sonraki bir sürüm
- mend mend-renovate-ce15.4.0 ya da sonraki bir sürüm
- mend mend-renovate-enterprise-edition10.4.0 ya da sonraki bir sürüm
Üretici duyuruları
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| renovatebot renovate | v < 44.14.7 | 44.14.7 |
| mend renovate-ce | v < 15.4.0 | 15.4.0 |
| mend renovate-ee-server | v < 15.4.0 | 15.4.0 |
| mend renovate-ee-worker | v < 15.4.0 | 15.4.0 |
| mend mend-renovate-ce | v < 15.4.0 | 15.4.0 |
| mend mend-renovate-enterprise-edition | v < 10.4.0 | 10.4.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.