Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je kompiláciou špeciálne vytvoreného regulárneho výrazu umožnené spustiť kód [1]. GitLab vydal k tejto zraniteľnosti 2 detekcie pokusov o zneužitie pre zákazníkov, ktorí si inštancie spravujú sami [2][3].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=7.0, <18.11.13; >=19.0, <19.0.10; >=19.1, <19.1.9; >=19.2, <19.2.9; >=19.3, <19.3.6; >=19.4, <19.4.3; >=19.5, <19.5.1;
• GitLab Enterprise Edition; >=7.0, <18.11.13; >=19.0, <19.0.10; >=19.1, <19.1.9; >=19.2, <19.2.9; >=19.3, <19.3.6; >=19.4, <19.4.3; >=19.5, <19.5.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2026-110264 na cve.org, NVD
• CWE-190: Integer Overflow or Wraparound na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 21. 10. 2026.

Autentizovanému vzdialenému útočníkovi je pri súčasne zapnutom automatickom prepájaní cez OmniAuth SAML a LDAP umožnené prevziať existujúci účet prepojený s LDAP bez potreby interakcie používateľa [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=10.1, <19.3.6; >=19.4, <19.4.3; >=19.5, <19.5.1;
• GitLab Enterprise Edition; >=10.1, <19.3.6; >=19.4, <19.4.3; >=19.5, <19.5.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N

Viac informácií:

• CVE-2026-15723 na cve.org, NVD
• CWE-90: Improper Neutralization of Special Elements used in an LDAP Query ('LDAP Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 21. 10. 2026.

Neautentizovanému vzdialenému útočníkovi je manipuláciou so zdieľanou vyrovnávacou pamäťou na koncových bodoch OAuth/OIDC discovery umožnené za určitých podmienok presmerovať toky používateľov na externý server [1].

Zraniteľnosť sa nachádza v produktoch:

• GitLab Community Edition; >=18.3, <19.3.6; >=19.4, <19.4.3; >=19.5, <19.5.1;
• GitLab Enterprise Edition; >=18.3, <19.3.6; >=19.4, <19.4.3; >=19.5, <19.5.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:L

Viac informácií:

• CVE-2026-112212 na cve.org, NVD
• CWE-444: Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 21. 10. 2026.