CVE-2026-88882
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Renovate to narzędzie do automatyzacji aktualizacji zależności. W wersjach wcześniejszych niż 44.11.2 (oraz obrazów i wykresów Mend Renovate CE/EE wcześniejszych niż 15.4.0 oraz wykresu steru mend-renovate-enterprise-edition wcześniejszych niż 10.4.0), podczas wyświetlania nowych wersji pakietów z rejestru NuGet Renovate postępuje zgodnie z adresami URL stronicowania dostarczonymi przez rejestr w nagłówku HTTP „Link” bez sprawdzania, czy element docelowy ma to samo pochodzenie co skonfigurowany rejestr. Poświadczenia rejestru są dołączone do żądania „następnej” strony, więc złośliwy lub zagrożony rejestr NuGet może zwrócić nagłówek „Link” wskazujący na serwer kontrolowany przez osobę atakującą i spowodować, że Renovate wyśle poświadczenia rejestru do tego serwera. Eksploatacja wymaga, aby zdalny rejestr był złośliwy lub zagrożony; taki rejestr zwykle otrzymałby już dane uwierzytelniające w pierwszym żądaniu, zatem problem umożliwia przede wszystkim dostarczenie danych uwierzytelniających do dodatkowego hosta wybranego przez osobę atakującą. Poprawka ogranicza paginację do tego samego źródła; poprzednie zachowanie można ponownie włączyć za pomocą opcji RENOVATE_X_NUGET_PAGINATION_ALLOW_CROSS_ORIGIN.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org