Renovate vulnerable to leakage of temporary repository tokens into Pull Request comments
Impact
Temporary repository tokens were leaked into Pull Requests comments in during certain Go Modules update failure scenarios.
Patches
The problem has been patched. Self-hosted users should upgrade to v19.38.7 or later.
Workarounds
Disable Go Modules support.
References
Blog post: https://renovatebot.com/blog/go-modules-vulnerability-disclosure
For more information
If you have any questions or comments about this advisory:
- Open an issue in Renovate
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | renovate | >= 13.87.0, < 19.38.7 | 19.38.7 |
Odnośniki
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N- Słabość (CWE)
CWE-200- Platforma
- npm
- Paczka
renovate- Ujawniono
- 21.10.2019
- Aktualizacja
- 20.10.2026 13:17
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-v7x3-7hw7-pcjg - CC BY 4.0
Historia podatności: renovate
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 11
- Pierwsza → ostatnia
- 10.2019 04.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Średnia 11
Ujawnienia w latach
- 2019: 1
- 2020: 1
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 1
- 2025: 0
- 2026: 8
-
Renovate vulnerable to leakage of temporary repository tokens into Pull Request comments ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.