Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je v dôsledku nedostatočnej validácie regulárneho výrazu v konfigurácii CI/CD umožnené za určitých podmienok spustiť ľubovoľný kód na GitLab serveri [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=19.2, <19.2.8; >=19.3, <19.3.4; >=19.4, <19.4.2
• GitLab Enterprise Edition; >=19.2, <19.2.8; >=19.3, <19.3.4; >=19.4, <19.4.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2026-97229 na cve.org, NVD
• CWE-190: Integer Overflow or Wraparound na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 10. 2026.

Autentizovanému vzdialenému útočníkovi s nízkymi oprávneniami je v dôsledku nedostatočného ošetrenia HTML atribútov pri farebnom zobrazovaní syntaxe umožnené prostredníctvom špeciálne vytvoreného repozitára spustiť ľubovoľný JavaScript v prehliadači iného používateľa [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=19.1, <19.2.8; >=19.3, <19.3.4; >=19.4, <19.4.2
• GitLab Enterprise Edition; >=19.1, <19.2.8; >=19.3, <19.3.4; >=19.4, <19.4.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Viac informácií:

• CVE-2026-92883 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 10. 2026.

Autentizovanému vzdialenému útočníkovi s oprávneniami roly Developer je v dôsledku nedostatočnej kontroly oprávnení umožnené spúšťať CI/CD pipeline na chránených vetvách [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=18.7, <19.2.8; >=19.3, <19.3.4; >=19.4, <19.4.2
• GitLab Enterprise Edition; >=18.7, <19.2.8; >=19.3, <19.3.4; >=19.4, <19.4.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:N

Viac informácií:

• CVE-2026-16301 na cve.org, NVD
• CWE-285: Improper Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 10. 2026.