Zpětná vazba k reportu

Neautentizovanému vzdálenému útočníkovi je v důsledku nedostatečné validace regulárního výrazu v konfiguraci CI/CD umožněno za určitých podmínek spustit libovolný kód na GitLab serveru [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=19.2, <19.2.8; >=19.3, <19.3.4; >=19.4, <19.4.2
• GitLab Enterprise Edition; >=19.2, <19.2.8; >=19.3, <19.3.4; >=19.4, <19.4.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Více informací:

• CVE-2026-97229 na cve.org, NVD
• CWE-190: Integer Overflow or Wraparound na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 10. 2026.

Autentizovanému vzdálenému útočníkovi s nízkými oprávněními je v důsledku nedostatečného ošetření HTML atributů při barevném zobrazování syntaxe umožněno prostřednictvím speciálně vytvořeného repozitáře spustit libovolný JavaScript v prohlížeči jiného uživatele [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=19.1, <19.2.8; >=19.3, <19.3.4; >=19.4, <19.4.2
• GitLab Enterprise Edition; >=19.1, <19.2.8; >=19.3, <19.3.4; >=19.4, <19.4.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Více informací:

• CVE-2026-92883 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 10. 2026.

Autentizovanému vzdálenému útočníkovi s oprávněními role Developer je v důsledku nedostatečné kontroly oprávnění umožněno spouštět CI/CD pipeline na chráněných větvích [1].

Zranitelnost se nachází v produktech:

• GitLab Community Edition; >=18.7, <19.2.8; >=19.3, <19.3.4; >=19.4, <19.4.2
• GitLab Enterprise Edition; >=18.7, <19.2.8; >=19.3, <19.3.4; >=19.4, <19.4.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:N

Více informací:

• CVE-2026-16301 na cve.org, NVD
• CWE-285: Improper Authorization na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 10. 2026.