Spätná väzba k reportu

Autentizovanému vzdialenému útočníkovi s rolou Developer je kvôli nedostatočnému riadeniu prístupu pri spracovaní interných požiadaviek v komponente Workhorse za určitých podmienok umožnené neoprávnene pristupovať k potenciálne citlivým informáciám [1][2].

Zraniteľnosť sa nachádza v produktoch:

• GitLab CE; >=10.1.0, <19.0.5; >= 19.1.0, < 19.1.3; >= 19.2.0, < 19.2.1;
• GitLab EE; >=10.1.0, <19.0.5; >= 19.1.0, < 19.1.3; >= 19.2.0, < 19.2.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2026-6267 na cve.org, NVD
• CWE-201: Insertion of Sensitive Information Into Sent Data na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 29. 7. 2026.

Autentizovanému vzdialenému útočníkovi je v dôsledku nedostatočnej validácie používateľských atribútov pri spracovaní vstupov v API na plánovanie pipeline za určitých podmienok umožnené upraviť CI/CD konfiguráciu iného používateľa [1][3].

Zraniteľnosť sa nachádza v produktoch:

• GitLab CE; >=18.0, <19.0.5; >=19.1, <19.1.3; >=19.2, <19.2.1;
• GitLab EE; >=18.0, <19.0.5; >=19.1, <19.1.3; >=19.2, <19.2.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:L

Viac informácií:

• CVE-2026-12436 na cve.org, NVD
• CWE-915: Improperly Controlled Modification of Dynamically-Determined Object Attributes na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 29. 7. 2026.

Neautentizovanému vzdialenému útočníkovi je v dôsledku nedostatočného obmedzovania prostriedkov pri spracovaní diskusií k Merge Request za určitých podmienok umožnené vyvolať DoS [1][4].

Zraniteľnosť sa nachádza v produktoch:

• GitLab CE; >=11.8, <19.0.5; >=19.1, <19.1.3; >=19.2, <19.2.1;
• GitLab EE; >=11.8, <19.0.5; >=19.1, <19.1.3; >=19.2, <19.2.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2026-15975 na cve.org, NVD
• CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 29. 7. 2026.