PT-2026-89396

CVE-2026-88885

Publicado

2026-09-10

Atualizado

2026-09-18

Descrição por

CVSS 4.0

7.3

Alta

MétricasAV:L/AC:H/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Renovate versões anteriores a 44.14.7

Description Um problema de injeção de comando existe no gerenciador gomod ao processar parâmetros depName não escapados durante comandos de atualização de caminho de importação enquanto opera no modo binarySource=docker. Isso ocorre durante atualizações de versão principal de módulos Go quando a opção postUpdateOptions gomodUpdateImportPaths está habilitada, permitindo que atacantes injetem metacaracteres de shell por meio de nomes de dependências maliciosos para executar comandos arbitrários como o usuário Renovate.

Recommendations Atualize para a versão 44.14.7 ou posterior. Como mitigação temporária, desative a opção postUpdateOptions gomodUpdateImportPaths.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Iaohkut-From-Nightwolf-Team

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-78: Improper Neutralization of Special Elements used in an OS Command (\'OS Command Injection\')

Identificadores relacionados

CVE-2026-88885