[TLP:CLEAR] GitLab CE/EE opravuje 7 zranitelností
GitLab verzemi 19.0.1, 18.11.4 a 18.10.7 opravuje 7 zranitelností v produktech GitLab Community Edition (CE) a Enterprise Edition (EE). Nejzávažnější z nich naleznete níže, zbylé pak na [1].
Autentizovanému vzdálenému útočníkovi je za určitých podmínek umožněno spustit vybrané Duo AI workflow pod identitou jiného uživatele v GitLab EE [1].
Zranitelnost se nachází v produktu:
- GitLab Enterprise Edition; >=18.8, <18.10.7; >=18.11, <18.11.4; >=19.0, <19.0.1
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N
Více informací:
- CVE-2026-4868 na cve.org, NVD
- CWE-639: Authorization Bypass Through User-Controlled Key na cwe.mitre.org
Zranitelnost byla veřejně oznámena 27. 5. 2026.
Autentizovanému vzdálenému útočníkovi je kvůli nedostatečné validaci ve Wiki umožněno za určitých podmínek vykonat útok DoS v GitLab CE/EE [1].
Zranitelnost se nachází v produktech:
- GitLab Community Edition; >=17.1, <18.10.7; >=18.11, <18.11.4; >=19.0, <19.0.1
- GitLab Enterprise Edition; >=17.1, <18.10.7; >=18.11, <18.11.4; >=19.0, <19.0.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2026-1402 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zranitelnost byla veřejně oznámena 27. 5. 2026.
Neautentizovanému vzdálenému útočníkovi je kvůli nesprávným autorizačním kontrolám v GraphQL WorkItem API umožněno za určitých podmínek enumerovat privátní projekty v GitLab CE/EE [1].
Zranitelnost se nachází v produktu:
- GitLab Community Edition; >=18.2, <18.10.7; >=18.11, <18.11.4; >=19.0, <19.0.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Více informací:
- CVE-2026-6713 na cve.org, NVD
- CWE-863: Incorrect Authorization na cwe.mitre.org
Zranitelnost byla veřejně oznámena 27. 5. 2026.
Za CESNET, z.s.p.o. Michaela Jarošová dne 29. 5. 2026.