CVE-2026-76228

Nome do Software Vulnerável e Versões Afetadas Renovate versões 32.124.0 até 42.68.4 Mend renovate-ce/renovate-ee versões anteriores a 13.3.0

Descrição Ocorre uma injeção de comando durante o manuseio de artefatos do Gradle Wrapper. Ao processar atualizações, o software invoca um comando de atualização do wrapper via shell. Se um arquivo gradle-wrapper.properties malicioso for introduzido em um repositório analisado, um invasor pode usar a sintaxe de substituição de comando do shell na variável distributionUrl. O shell avalia essa sintaxe antes que o Gradle analise a URL, permitindo a execução de comandos arbitrários no ambiente de execução. Este problema persiste mesmo quando o allowScripts está desativado.

Recomendações Atualize o Renovate para a versão 42.68.5 ou posterior. Atualize o Mend renovate-ce/renovate-ee para a versão 13.3.0 ou posterior.