【漏洞预警】Renovate 共享预设可绕过请求头、环境变量白名单并发起内网请求（CVE-2026-110865 等）

发布日期： 2026 年 10 月 15 日
风险等级： 严重（Critical）
漏洞编号： CVE-2026-110865 · CVE-2026-110867 · CVE-2026-110868
涉及镜像： renovate/renovate — 轩辕镜像 · Docker Hub
CVSS： 9.0（Critical，CVSS 4.0，CVE-2026-110867）；同条 CVSS 3.1 为 8.5
披露时间： NVD 于 2026 年 10 月 14 日收录
相关公告： GHSA-6873-xr44-22vm

---

一、漏洞概述

Renovate 用来自动更新依赖，常以官方镜像 renovate/renovate 跑在自托管或 Mend Renovate CE / EE 里。这三条都和共享预设有关，和此前 CVE-2026-88887、CVE-2026-88885、CVE-2026-88886 不是同一条路径。此前建议的 44.14.7 低于这三条的修复线。

仓库用户或外部预设来源可以把 hostRules 里的 HTTP 头写进配置，绕过管理员设置的 allowedHeaders 白名单，从而给 Renovate 的出站请求加上自定义头（CVE-2026-110865）。

共享预设里的 env 同样可以绕过 allowedEnv。控制外部预设的一方可以在自托管实例的子进程里覆盖 PATH、LD_PRELOAD、NODE_OPTIONS、GIT_SSL_CAINFO 等变量，造成命令被劫持、动态库被注入，或 TLS 信任链被换掉（CVE-2026-110867）。

经 HTTP 形式的 presets（extends）或 customDatasources，共享 HTTP 客户端还可以去请求任意内网地址。云上实例如果被指向实例元数据服务，就有机会拿到云凭证，或在日志里留下敏感信息（CVE-2026-110868）。

---

二、漏洞状态

统计截止： 2026 年 10 月 18 日（UTC+8）

停在 44.60.1 到 44.79.0 之前时，前两条已经过了修复线，内网请求那条仍在。

---

三、影响范围

1. 版本与发行形态

Docker Hub 已有标签 44.60.1、44.79.0，以及更高的 44.167.0。44.60.1 只盖住前两条。

只使用管理员完全控制的配置、并且关闭了外部 presets 与 HTTP customDatasources 的实例，暴露面会小很多。白名单绕过和内网请求在对应修复版本之前仍然存在。

2. 典型受影响场景

• 自托管 Renovate 开了 allowedHeaders 或 allowedEnv，同时又允许仓库用户或外部来源提供 presets
• 云上 Bot 能访问实例元数据或内网，并且允许 HTTP presets / customDatasources
• 子进程会继承预设写入的环境变量，主机上还有密钥材料

---

四、修复建议

1. 升级到 44.79.0 或更高（推荐）

Hub 上 44.167.0 同样高于三条修复线，可以选用。

Docker Hub： renovate/renovate

轩辕镜像： renovate/renovate

bash
docker pull docker.xuanyuan.run/renovate/renovate:44.79.0

将 CI 或 Compose 中的镜像改为上述坐标后重新创建任务。升级后确认版本不低于 44.79.0。Mend 商业镜像按厂商给出的 15.6.0 / chart 10.6.0 升级，不要用开源标签代替。

2. 升级后核对预设来源

外部预设曾经可控的，按出站请求头、子进程环境和云元数据凭证可能已被碰到处理：轮换该 Bot 能访问的仓库凭据和云身份，并去掉不再需要的 HTTP presets。

---

五、临时缓解措施

在完成升级之前：

1. 不要接受不可信的共享预设
   低于 44.79.0 时，外部 presets 可以绕过请求头和环境变量白名单，并发起内网请求。

2. 限制 Bot 的出站
   禁止访问 169.254.169.254 和其他不需要的内网地址。这不能代替升级。

3. 不要停在 44.60.1 或 44.14.7
   44.60.1 只修前两条。44.14.7 是更早一批漏洞的修复线，不覆盖本文三条。

---

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是镜像加速与拉取服务，不替代 Renovate 的版本升级。

• 站内页：renovate/renovate。拉取命令为 docker.xuanyuan.run/renovate/renovate:44.79.0。
• 加速拉取不会自动变成 44.79.0。请把标签固定为 44.79.0 或更高，例如已存在的 44.167.0。
• 配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。

---

七、参考链接

• Renovate：GHSA-6j6f-fh7w-vvjr（CVE-2026-110865）
• Renovate：GHSA-6873-xr44-22vm（CVE-2026-110867）
• Renovate：GHSA-8rqp-w6vc-pf27（CVE-2026-110868）
• NVD：CVE-2026-110865
• NVD：CVE-2026-110867
• NVD：CVE-2026-110868
• Docker Hub：renovate/renovate
• 轩辕站内镜像页：renovate/renovate

---

轩辕镜像安全团队
2026 年 10 月 15 日