CVE-2026-76227

Nome do Software Vulnerável e Versões Afetadas Renovate versões 42.68.1 até 42.96.2 Renovate versões 42.68.1 até 43.4.3 renovate/renovate versões 13.3.0 até 13.5.9 mend/renovate-ce versões 13.3.0 até 13.5.9 renovate-ee-server versões 13.3.0 até 13.5.9 renovate-ee-worker versões 13.3.0 até 13.5.9

Description O software falha ao restringir variáveis de ambiente a uma lista de permissões (allowlist) ao iniciar processos filhos, como npm install, postUpgradeTasks e postUpdateOptions. Isso permite que processos filhos tenham acesso total a todas as variáveis de ambiente do processo principal, o que pode permitir que atacantes exfiltrem segredos acessíveis à implantação.

Recommendations Atualize o Renovate para a versão 42.96.3 ou posterior. Atualize o Renovate para a versão 43.4.4 ou posterior. Atualize as imagens Docker renovate/renovate, mend/renovate-ce, renovate-ee-server e renovate-ee-worker para a versão 13.6.0 ou posterior.