Zpětná vazba k reportu

Autentizovanému vzdálenému útočníkovi s rolí Developer je kvůli nedostatečnému řízení přístupu při zpracování interních požadavků v komponentě Workhorse za určitých podmínek umožněno neoprávněně přistupovat k potenciálně citlivým informacím [1][2].

Zranitelnost se nachází v produktech:

• GitLab CE; >=10.1.0, <19.0.5; >= 19.1.0, < 19.1.3; >= 19.2.0, < 19.2.1;
• GitLab EE; >=10.1.0, <19.0.5; >= 19.1.0, < 19.1.3; >= 19.2.0, < 19.2.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

Více informací:

• CVE-2026-6267 na cve.org, NVD
• CWE-201: Insertion of Sensitive Information Into Sent Data na cwe.mitre.org

Zranitelnost byla veřejně oznámena 29. 7. 2026.

Autentizovanému vzdálenému útočníkovi je v důsledku nedostatečné validace uživatelských atributů při zpracování vstupů v API pro plánování pipeline za určitých podmínek umožněno upravit CI/CD konfiguraci jiného uživatele [1][3].

Zranitelnost se nachází v produktech:

• GitLab CE; >=18.0, <19.0.5; >=19.1, <19.1.3; >=19.2, <19.2.1;
• GitLab EE; >=18.0, <19.0.5; >=19.1, <19.1.3; >=19.2, <19.2.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:L

Více informací:

• CVE-2026-12436 na cve.org, NVD
• CWE-915: Improperly Controlled Modification of Dynamically-Determined Object Attributes na cwe.mitre.org

Zranitelnost byla veřejně oznámena 29. 7. 2026.

Neautentizovanému vzdálenému útočníkovi je v důsledku nedostatečného omezování prostředků při zpracování diskusí u Merge Request za určitých podmínek umožněno vyvolat DoS [1][4].

Zranitelnost se nachází v produktech:

• GitLab CE; >=11.8, <19.0.5; >=19.1, <19.1.3; >=19.2, <19.2.1;
• GitLab EE; >=11.8, <19.0.5; >=19.1, <19.1.3; >=19.2, <19.2.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2026-15975 na cve.org, NVD
• CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org

Zranitelnost byla veřejně oznámena 29. 7. 2026.