Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] GitLab opravuje 11 zranitelností
GitLab verzemi 19.2.7, 19.3.3 a 19.4.1 v produktu GitLab CE/EE opravuje 11 zranitelností [1]. Nejzávažnější z nich jsou uvedeny níže.
Autentizovanému vzdálenému útočníkovi je za určitých podmínek při zpracování speciálně upraveného regulárního výrazu v CI/CD konfiguraci umožněno spustit libovolný kód [1].
Zranitelnost se nachází v produktu:
- GitLab; >=19.2, <19.2.7; >=19.3, <19.3.3; >=19.4, <19.4.1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L
Více informací:
- CVE-2026-89078 na cve.org, NVD
- CWE-415: Double Free na cwe.mitre.org
Zranitelnost byla veřejně oznámena 23. 9. 2026.
Autentizovanému vzdálenému útočníkovi je za určitých podmínek při kompilaci speciálně upraveného regulárního výrazu v CI/CD konfiguraci umožněno spustit libovolný kód [1].
Zranitelnost se nachází v produktu:
- GitLab; >=19.2, <19.2.7; >=19.3, <19.3.3; >=19.4, <19.4.1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2026-93577 na cve.org, NVD
- CWE-190: Integer Overflow or Wraparound na cwe.mitre.org
Zranitelnost byla veřejně oznámena 23. 9. 2026.
Autentizovanému vzdálenému útočníkovi je za určitých podmínek umožněno prostřednictvím prohlížeče změn provést útok XSS [1].
Zranitelnost se nachází v produktu:
- GitLab; >=13.11, <19.2.7; >=19.3, <19.3.3; >=19.4, <19.4.1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
Více informací:
- CVE-2026-84739 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 23. 9. 2026.
Za CESNET, z.s.p.o. Ondrej Pavlovič dne 24. 9. 2026.