Mittel

Renovate vulnerable to Azure DevOps token leakage in logs

Veröffentlicht: 14.09.2020
Aktualisiert: 20.10.2026 13:17

Impact

Applies to Azure DevOps users only. The bot's token may be exposed in server or pipeline logs due to the http.extraheader=AUTHORIZATION parameter being logged without redaction. It is recommended that Azure DevOps users revoke their existing bot credentials and generate new ones after upgrading if there's a potential that logs have been saved to a location that others can view.

Patches

Fixed in

Workarounds

Do not share Renovate logs with anyone who cannot be trusted with access to the token.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	renovate	>= 19.180.0, < 23.25.1	23.25.1

Verweise

CVSS-Wert -

Schwäche (CWE): -
Plattform: npm
Paket: renovate
Veröffentlicht: 14.09.2020
Aktualisiert: 20.10.2026 13:17

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-36rh-ggpr-j3gj - CC BY 4.0

Schwachstellenhistorie: renovate

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (11) im Archiv

Einträge insgesamt: 11
Erste → letzte: 10.2019 04.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Mittel 11

Veröffentlichungen pro Jahr

2019: 1
2020: 1
2021: 0
2022: 0
2023: 0
2024: 1
2025: 0
2026: 8

16.04.2026

Renovate affected by remote code execution was possible using the bazel-module or bazelisk managers, when using lockFileMaintenance

Mittel · 6.3 CVE-2026-76226 >= 43.65.0, < 43.102.11 43.102.11
13.02.2026

Child processes spawned by Renovate incorrectly have full access to environment variables

Mittel · 5.5 CVE-2026-76227 >= 42.68.1, < 42.96.3, >= 43.0.0, < 43.4.4 42.96.3, 43.4.4
13.01.2026

Renovate vulnerable to arbitrary command injection via helmv3 manager and malicious Chart.yaml file

Mittel · 6.7 CVE-2026-76232 >= 31.51.0, < 40.33.0 40.33.0
13.01.2026

Renovate vulnerable to arbitrary command injection via gleam manager and malicious gleam.toml file

Mittel · 6.7 CVE-2026-76233 >= 39.53.0, < 40.33.0 40.33.0
13.01.2026

Renovate vulnerable to arbitrary command injection via hermit manager and maliciously named dependencies

Mittel · 6.7 CVE-2026-76231 >= 32.135.0, < 40.33.0 40.33.0
13.01.2026

Renovate vulnerable to arbitrary command injection via npm manager and malicious Renovate configuration

Mittel · 6.7 CVE-2026-76230 >= 35.63.0, < 40.33.0 40.33.0
13.01.2026

Renovate vulnerable to arbitrary command injection via kustomize manager and malicious helm repository

Mittel · 6.7 CVE-2026-76229 >= 39.218.0, < 40.33.0 40.33.0
13.01.2026

Renovate vulnerable to arbitrary command injection via Gradle Wrapper and malicious `distributionUrl`

Mittel · 6.7 CVE-2026-76228 >= 32.124.0, < 42.68.5 42.68.5
23.04.2024

Renovate vulnerable to arbitrary command injection via helmv3 manager and registryAliases

Mittel · 5.4 CVE-2024-58376 >= 37.158.0, < 37.199.0 37.199.0
14.09.2020

Renovate vulnerable to Azure DevOps token leakage in logs dieser Eintrag

Mittel CVE-2020-37267 >= 19.180.0, < 23.25.1 23.25.1
21.10.2019

Renovate vulnerable to leakage of temporary repository tokens into Pull Request comments

Mittel · 5.3 CVE-2019-25766 >= 13.87.0, < 19.38.7 19.38.7

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden