В GitLab Community Edition (CE) и Enterprise Edition (EE) исправлена CVE-2026-97229 с максимальной оценкой CVSS 10.0. При определённых условиях пользователь без учётной записи мог выполнить произвольный код на сервере GitLab. В опубликованном в понедельник уведомлении компания сообщила, что устранила ошибку.
Уязвимость описана как переполнение целого числа. Путь к её эксплуатации проходил через конфигурацию CI/CD: специально составленное регулярное выражение могло сработать из-за недостаточной проверки таких выражений. Речь идёт о возможном выполнении кода на самом сервере, а не о запуске обычной задачи конвейера.
Исправления вошли в версии 19.2.8, 19.3.5 и 19.4.2. Уязвимыми названы выпуски ветки 19.3 до 19.3.5 и ветки 19.4 до 19.4.2. Ещё один диапазон приведён неполностью — «2 до 19.2.8». По этой записи нельзя надёжно определить его начальную версию.
В том же выпуске исправлений закрыта CVE-2026-92883 с оценкой CVSS 8.7. Это межсайтовое выполнение сценариев, или XSS: пользователь, уже вошедший в GitLab, мог подготовить репозиторий так, чтобы произвольный JavaScript выполнялся в браузерных сеансах других пользователей.
CVE-2026-16301 получила оценку CVSS 8.5. Ошибка проверки прав в сервисе создания нисходящих конвейеров позволяла пользователю с ролью Developer запускать CI/CD-конвейеры на защищённых ветках. Защита ветки при таком сценарии не удерживала границу прав, ожидаемую для этой роли.
Третье исправление высокой степени серьёзности — CVE-2026-14814, CVSS 8.2. Слишком permissive-проверка регулярным выражением позволяла отравлять кеш ответов для исходных файлов репозитория. Если подготовленное содержимое попадало в конвейер выбранного пользователя, его CI/CD-задачи могли выполнить этот код; среди возможных последствий названа утечка защищённых переменных окружения.
Несколькими неделями ранее GitLab устранила критическую CVE-2026-90970 с оценкой CVSS 9.9 в AI Gateway. Пользователь с доступом к Duo Agent Platform мог подготовить конфигурацию потока так, чтобы выйти за пределы песочницы шаблонов запросов и потенциально выполнить произвольные команды на AI Gateway. В этом случае, в отличие от CVE-2026-97229, для атаки требовался доступ к платформе.
Ещё одна уязвимость максимальной степени серьёзности в GitLab CE и EE, CVE-2026-85706, получила CVSS 10.0. Согласно сообщению о ней, попытки проверки доступных извне систем наблюдались уже через несколько часов после публичного раскрытия. Указано, что раскрытие произошло «в прошлом месяце»; точной календарной даты в этих данных нет.
Изображение носит иллюстративный характер
Уязвимость описана как переполнение целого числа. Путь к её эксплуатации проходил через конфигурацию CI/CD: специально составленное регулярное выражение могло сработать из-за недостаточной проверки таких выражений. Речь идёт о возможном выполнении кода на самом сервере, а не о запуске обычной задачи конвейера.
Исправления вошли в версии 19.2.8, 19.3.5 и 19.4.2. Уязвимыми названы выпуски ветки 19.3 до 19.3.5 и ветки 19.4 до 19.4.2. Ещё один диапазон приведён неполностью — «2 до 19.2.8». По этой записи нельзя надёжно определить его начальную версию.
В том же выпуске исправлений закрыта CVE-2026-92883 с оценкой CVSS 8.7. Это межсайтовое выполнение сценариев, или XSS: пользователь, уже вошедший в GitLab, мог подготовить репозиторий так, чтобы произвольный JavaScript выполнялся в браузерных сеансах других пользователей.
CVE-2026-16301 получила оценку CVSS 8.5. Ошибка проверки прав в сервисе создания нисходящих конвейеров позволяла пользователю с ролью Developer запускать CI/CD-конвейеры на защищённых ветках. Защита ветки при таком сценарии не удерживала границу прав, ожидаемую для этой роли.
Третье исправление высокой степени серьёзности — CVE-2026-14814, CVSS 8.2. Слишком permissive-проверка регулярным выражением позволяла отравлять кеш ответов для исходных файлов репозитория. Если подготовленное содержимое попадало в конвейер выбранного пользователя, его CI/CD-задачи могли выполнить этот код; среди возможных последствий названа утечка защищённых переменных окружения.
Несколькими неделями ранее GitLab устранила критическую CVE-2026-90970 с оценкой CVSS 9.9 в AI Gateway. Пользователь с доступом к Duo Agent Platform мог подготовить конфигурацию потока так, чтобы выйти за пределы песочницы шаблонов запросов и потенциально выполнить произвольные команды на AI Gateway. В этом случае, в отличие от CVE-2026-97229, для атаки требовался доступ к платформе.
Ещё одна уязвимость максимальной степени серьёзности в GitLab CE и EE, CVE-2026-85706, получила CVSS 10.0. Согласно сообщению о ней, попытки проверки доступных извне систем наблюдались уже через несколько часов после публичного раскрытия. Указано, что раскрытие произошло «в прошлом месяце»; точной календарной даты в этих данных нет.
