GitLab пусна актуализации за сигурност за Community Edition и Enterprise Edition за отстраняване на множество уязвимости, включително два критични дефекта, които биха могли да позволят произволно четене на файлове и кражба на идентификационни данни.
Отделен проблем с висока степен на сериозност в GitLab Enterprise Edition може да позволи на автентифицирани атакуващи да постигнат отдалечено изпълнение на код чрез импортиране на злонамерен експорт на проект. Компанията пусна версии 19.3.2, 19.2.6 и 19.1.8 на GitLab на 10 септември 2026 г.
GitLab горещо подкани всички клиенти със самостоятелно управлявани среди (self-managed) незабавно да инсталират корекциите за сигурност. В GitLab.com вече е внедрено коригираното издание, докато клиентите на GitLab Dedicated не е необходимо да предприемат действия.
Най-сериозната уязвимост, проследявана като CVE-2026-85706, е дефект тип обхождане на директории (path traversal) в API за комити в хранилището, засягащ както GitLab CE, така и EE.
Проблемът получи CVSS оценка 10.0. От GitLab заявиха, че неавтентифициран атакуващ би могъл при определени условия да чете произволни файлове от засегнат GitLab сървър.
GitLab коригира критични уязвимости
Грешката произтича от неправомерно ограничаване на пътя, съчетано с липсваща проверка за автентификация в API за комити в хранилището. Атакуващ потенциално би могъл да използва специално създадени последователности за обхождане на директории, за да достъпи файлове извън предвидения път на хранилището.
В зависимост от конфигурацията на сървъра, изложените данни могат да включват настройки на приложението, тайни (secrets), токени, SSH ключове, идентификационни данни за бази данни или други чувствителни файлове, достъпни за процеса на GitLab.
CVE-2026-85706 засяга версии на GitLab CE и EE от 18.7 до 19.1.7, 19.2 преди 19.2.6 и 19.3 преди 19.3.2. Изследователят по сигурността s3ntago е докладвал уязвимостта чрез програмата за награди за намерени грешки на GitLab в HackerOne.
GitLab също така коригира CVE-2026-87719 – критична уязвимост от тип небезопасна десериализация в GraphQL subscription serializer за GitLab EE. Дефектът има CVSS оценка 9.9 и изисква автентифициран потребител с достъп до Duo Chat.
| CVE | Severity | Impact | Affected Versions |
|---|---|---|---|
| CVE-2026-85706 | Critical (10.0) | Неавтентифицирано произволно четене на файлове | 18.7–19.1.7; 19.2.0–19.2.5; 19.3.0–19.3.1 |
| CVE-2026-87719 | Critical (9.9) | Кражба на идентификационни данни и конфигурация | 18.3–19.1.7; 19.2.0–19.2.5; 19.3.0–19.3.1 |
Според GitLab, атакуващ би могъл да изпрати специално създаден аргумент за GraphQL абонамент, за да заобиколи контрола за сериализация и да задейства търсене на обект от страна на сървъра.
Това може да разкрие конфигурации на инстанцията на Advanced Search и чувствителни идентификационни данни. Проблемът засяга версии на GitLab EE от 18.3 преди 19.1.8, 19.2 преди 19.2.6 и 19.3 преди 19.3.2.
Трети важен проблем, CVE-2026-88765, е уязвимост от тип препълване на буфера в об обвивката за преобразуване на Unicode на GitLab EE. Тя носи CVSS оценка 8.5 и би могла да позволи на автентифициран атакуващ да изпълнява отдалечено код чрез импортиране на специално създаден експорт на Git проект.
Препълването възниква по време на индексирането за Advanced Search, което прави системите, приемащи импортиране на проекти, значителна рискова зона. GitLab допълнително отстрани уязвимости с висока степен на сериозност, засягащи защитени CI/CD променливи, рендиране на Markdown, достъп до CI/CD променливи на средата и управление на GraphQL ресурси.
Тези проблеми биха могли да позволят на потребители с по-ниски привилегии да достъпват защитени променливи, да правят непредвидени заявки за промяна на състоянието или да предизвикат условия за отказ на услуга (DoS). Администраторите трябва да актуализират до GitLab 19.3.2, 19.2.6 или 19.1.8 в зависимост от поддържания от тях клон на версията.
Обновяването включва миграции на базата данни, което означава, че средите с един възел (single-node) ще имат прекъсване на работата, докато миграциите приключат. Внедряванията с множество възли (multi-node) могат да използват процеса на GitLab за обновяване без прекъсване на работата (zero-downtime), когато са правилно конфигурирани.