Zpětná vazba k reportu

Autentizovanému vzdálenému útočníkovi s oprávněním role Developer je kvůli zpracování konfigurace agenta Claude ze zdroje kontrolovaného uživatelem v produktu GitLab EE umožněno po interakci uživatele spustit libovolné příkazy v kontextu CI [1][2].

Zranitelnost se nachází v produktu:

• GitLab Enterprise Edition; >=18.9, <19.1.7; >=19.2, <19.2.5; >=19.3, <19.3.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

Více informací:

• CVE-2026-18252 na cve.org, NVD
• CWE-829: Inclusion of Functionality from Untrusted Control Sphere na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 8. 2026.

Autentizovanému vzdálenému útočníkovi je kvůli chybějícímu omezení počtu zpracovávaných objektů v import pipeline produktu GitLab CE/EE umožněno vykonat útok DoS zasahující zpracování úloh na pozadí [1][3].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=12.8, <19.1.7; >=19.2, <19.2.5; >=19.3, <19.3.1
• GitLab Enterprise Edition; >=12.8, <19.1.7; >=19.2, <19.2.5; >=19.3, <19.3.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2026-77801 na cve.org, NVD
• CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 8. 2026.

Autentizovanému vzdálenému útočníkovi je kvůli nekonečné smyčce při zpracování speciálně upravených dat ve funkci SCIM provisioningu uživatelů produktu GitLab EE umožněno vykonat útok DoS [1][4].

Zranitelnost se nachází v produktu:

• GitLab Enterprise Edition; >=11.10, <19.1.7; >=19.2, <19.2.5; >=19.3, <19.3.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2025-10903 na cve.org, NVD
• CWE-835: Loop with Unreachable Exit Condition ('Infinite Loop') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 8. 2026.