Spätná väzba k reportu

Autentizovanému vzdialenému útočníkovi s oprávnením roly Developer je kvôli spracovaniu konfigurácie agenta Claude zo zdroja kontrolovaného používateľom v produkte GitLab EE umožnené po interakcii používateľa spustiť ľubovoľné príkazy v kontexte CI [1][2].

Zraniteľnosť sa nachádza v produkte:

• GitLab Enterprise Edition; >=18.9, <19.1.7; >=19.2, <19.2.5; >=19.3, <19.3.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

Viac informácií:

• CVE-2026-18252 na cve.org, NVD
• CWE-829: Inclusion of Functionality from Untrusted Control Sphere na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 8. 2026.

Autentizovanému vzdialenému útočníkovi je kvôli chýbajúcemu obmedzeniu počtu spracovávaných objektov v import pipeline produktu GitLab CE/EE umožnené vykonať útok DoS zasahujúci spracovanie úloh na pozadí [1][3].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=12.8, <19.1.7; >=19.2, <19.2.5; >=19.3, <19.3.1
• GitLab Enterprise Edition; >=12.8, <19.1.7; >=19.2, <19.2.5; >=19.3, <19.3.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2026-77801 na cve.org, NVD
• CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 8. 2026.

Autentizovanému vzdialenému útočníkovi je kvôli nekonečnej slučke pri spracovaní špeciálne upravených dát vo funkcii SCIM provisioningu používateľov produktu GitLab EE umožnené vykonať útok DoS [1][4].

Zraniteľnosť sa nachádza v produkte:

• GitLab Enterprise Edition; >=11.10, <19.1.7; >=19.2, <19.2.5; >=19.3, <19.3.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2025-10903 na cve.org, NVD
• CWE-835: Loop with Unreachable Exit Condition ('Infinite Loop') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 8. 2026.