Renovate до 44.60.1: обход allowlist HTTP-заголовков через общие пресеты (CVE-2026-110865)
В Renovate до версии 44.60.1 обнаружена уязвимость обхода ограничения allowedHeaders: пользователи репозитория могут пронести произвольные HTTP-заголовки через hostRules в общих пресетах. Проблема затрагивает Renovate OSS, Renovate CE/EE от Mend и соответствующие Helm-чарты, оценка CVSS — 7.1 (HIGH).
Подробности
Уязвимость присутствует в Renovate версий до 44.60.1. Под воздействием находятся продукты renovatebot renovate, mend renovate-ce, mend renovate-ee-server, mend renovate-ee-worker, а также Helm-чарты mend mend-renovate-ce и mend mend-renovate-enterprise-edition. Суть проблемы — обход механизма allowedHeaders. Пользователи репозитория могут размещать заголовки hostRules внутри общих пресетов (shared presets), которые не проходят ту же проверку, что и обычные настройки. В результате атакующий может подключить внутренний или внешний пресет с невалидированными полями hostRules[].headers и тем самым внедрить собственные HTTP-заголовки в запросы, которые Renovate отправляет другим хостам. Это позволяет обходить политику ограничения заголовков и потенциально влиять на взаимодействие Renovate с внешними и внутренними сервисами.Что делать
Основная рекомендация — обновить Renovate до версии 44.60.1 или выше, где обход устранён. Для пользователей Mend Renovate CE/EE и владельцев соответствующих Helm-чартов следует установить релизы, включающие исправленную версию Renovate. До обновления в качестве компенсирующих мер рекомендуется: - ограничить использование общих пресетов из недоверенных источников и внимательно проверять подключаемые пресеты на наличие полей hostRules[].headers; - по возможности запретить или ограничить подключение внешних пресетов в конфигурации; - контролировать, к каким хостам Renovate может обращаться, и ограничить сетевой доступ к внутренним сервисам; - проверить журналы запросов Renovate на предмет необычных заголовков или обращений к неожиданным хостам.Итог
CVE-2026-110865 — уязвимость высокой критичности, связанная с обходом allowlist HTTP-заголовков через общие пресеты в Renovate. Она позволяет пользователям репозитория внедрять произвольные заголовки в запросы к другим хостам. Наиболее надёжный способ защиты — обновление до Renovate 44.60.1 и выше; до этого стоит ужесточить контроль над используемыми пресетами и сетевым доступом.Источник: CVE Project (cvelistV5)