Zaloguj się
Deutsch English Español Polski
Średnia

Renovate vulnerable to Azure DevOps token leakage in logs

  • Ujawniono: 14.09.2020
  • Aktualizacja: 20.10.2026 13:17

Impact

Applies to Azure DevOps users only. The bot's token may be exposed in server or pipeline logs due to the http.extraheader=AUTHORIZATION parameter being logged without redaction. It is recommended that Azure DevOps users revoke their existing bot credentials and generate new ones after upgrading if there's a potential that logs have been saved to a location that others can view.

Patches

Fixed in

Workarounds

Do not share Renovate logs with anyone who cannot be trusted with access to the token.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm renovate >= 19.180.0, < 23.25.1 23.25.1

Odnośniki

Ocena CVSS -
Słabość (CWE)
-
Platforma
npm
Paczka
renovate
Ujawniono
14.09.2020
Aktualizacja
20.10.2026 13:17

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-36rh-ggpr-j3gj - CC BY 4.0

Historia podatności: renovate

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (11) w archiwum
Wszystkich wpisów
11
Pierwsza → ostatnia
10.2019 04.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Średnia 11

Ujawnienia w latach

Istotność:
  1. Renovate affected by remote code execution was possible using the bazel-module or bazelisk managers, when using lockFileMaintenance
    Średnia · 6.3 CVE-2026-76226 >= 43.65.0, < 43.102.11 43.102.11
  2. Child processes spawned by Renovate incorrectly have full access to environment variables
    Średnia · 5.5 CVE-2026-76227 >= 42.68.1, < 42.96.3, >= 43.0.0, < 43.4.4 42.96.3, 43.4.4
  3. Renovate vulnerable to arbitrary command injection via helmv3 manager and malicious Chart.yaml file
    Średnia · 6.7 CVE-2026-76232 >= 31.51.0, < 40.33.0 40.33.0
  4. Renovate vulnerable to arbitrary command injection via gleam manager and malicious gleam.toml file
    Średnia · 6.7 CVE-2026-76233 >= 39.53.0, < 40.33.0 40.33.0
  5. Renovate vulnerable to arbitrary command injection via hermit manager and maliciously named dependencies
    Średnia · 6.7 CVE-2026-76231 >= 32.135.0, < 40.33.0 40.33.0
  6. Renovate vulnerable to arbitrary command injection via npm manager and malicious Renovate configuration
    Średnia · 6.7 CVE-2026-76230 >= 35.63.0, < 40.33.0 40.33.0
  7. Renovate vulnerable to arbitrary command injection via kustomize manager and malicious helm repository
    Średnia · 6.7 CVE-2026-76229 >= 39.218.0, < 40.33.0 40.33.0
  8. Renovate vulnerable to arbitrary command injection via Gradle Wrapper and malicious `distributionUrl`
    Średnia · 6.7 CVE-2026-76228 >= 32.124.0, < 42.68.5 42.68.5
  9. Renovate vulnerable to arbitrary command injection via helmv3 manager and registryAliases
    Średnia · 5.4 CVE-2024-58376 >= 37.158.0, < 37.199.0 37.199.0
  10. Renovate vulnerable to Azure DevOps token leakage in logs ten wpis
    Średnia CVE-2020-37267 >= 19.180.0, < 23.25.1 23.25.1
  11. Renovate vulnerable to leakage of temporary repository tokens into Pull Request comments
    Średnia · 5.3 CVE-2019-25766 >= 13.87.0, < 19.38.7 19.38.7

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.