GitLab призовава потребителите на самостоятелно хоствани инстанции (self-managed) да инсталират корекции за сигурност за критична уязвимост (CVE-2026-97229) в компилатора на регулярни изрази за CI/CD, която би могла да позволи на отдалечени атакуващи да изпълнят произволен код върху сървърите на GitLab.
Относно CVE-2026-97229
CVE-2026-97229 представлява уязвимост от тип целочислено препълване (integer overflow) в компилатора на регулярни изрази за CI/CD на GitLab и засяга както GitLab Community Edition (CE), така и Enterprise Edition (EE).
GitLab оцени уязвимостта с CVSS оценка 10.0 — възможно най-високата. Според CVSS вектора, слабостта може да бъде експлоатирана дистанционно, с ниска сложност и без необходимост от права за достъп или взаимодействие с потребител.
„GitLab коригира проблем, който при определени условия би могъл да позволи на неавтентифициран потребител да изпълни произволен код на сървъра на GitLab чрез специално конструиран регулярен израз в CI/CD конфигурация, поради недостатъчна валидация на регулярни изрази“, се посочва в бюлетина за сигурност.
GitLab отстрани уязвимостта във версии 19.4.2, 19.3.5 и 19.2.8 на GitLab Community Edition (CE) и Enterprise Edition (EE), пуснати на 12 октомври 2026 г. Уязвимостта засяга всички версии от 19.2 преди 19.2.8, 19.3 преди 19.3.5 и 19.4 преди 19.4.2.
Компанията отбелязва, че версия 19.3.4 е съдържала грешка, засягаща страниците за сливане на заявки (merge request), когато е активирана интеграцията с Ona, като този проблем е отстранен в 19.3.5.
„Тези версии съдържат важни корекции на грешки и корекции за сигурност и ние силно препоръчваме всички самостоятелно управлявани инсталации на GitLab да бъдат обновени до една от тези версии незабавно“, предупреди компанията.
„GitLab.com вече работи с обновената версия. Клиентите на GitLab Dedicated не е необходимо да предприемат действия“, допълват оттам.
Уязвимостта е докладвана от изследовател с псевдоним joaxcar чрез програмата за откриване на уязвимости (bug bounty) на GitLab в HackerOne.
Същият изследовател докладва и CVE-2026-7767 — отворено пренасочване със средна степен на опасност в проксито за Kubernetes на GitLab, което може да доведе до изпращане на чувствителни токени за автентикация към нежелан сървър.
CVE-2026-97229 е поредната от няколко уязвимости, които GitLab коригира през последните месеци. През август компанията публикува корекции за сигурност за CVE-2026-19478 — критична уязвимост за инжектиране на код, която можеше да бъде експлоатирана без автентикация с цел модифициране или изтриване на публични проекти и потребителски данни.
- CVE
- GitLab
- уязвимост