Το GitLab κυκλοφόρησε επίσημες διορθώσεις ασφαλείας (patches) για την αντιμετώπιση ενός κρίσιμου τρωτού σημείου μέγιστης σοβαρότητας (CVSS score: 10.0), το οποίο επηρεάζει τις εκδόσεις Community Edition (CE) και Enterprise Edition (EE) της πλατφόρμας.
Η ευπάθεια, η οποία καταγράφεται ως CVE-2026-97229, θα μπορούσε υπό συγκεκριμένες προϋποθέσεις να επιτρέψει σε μη πιστοποιημένους χρήστες να εκτελέσουν αυθαίρετο κώδικα στον διακομιστή του GitLab.
GitLab: Αιτία και επηρεαζόμενες εκδόσεις
Σύμφωνα με την επίσημη ενημέρωση από την εταιρεία, το πρόβλημα οφείλεται σε ανεπαρκή επικύρωση κανονικών εκφράσεων (regular expressions) σε συνδυασμό με ζήτημα υπερχείλισης ακεραίων (integer overflow) σε αρχεία διαμόρφωσης CI/CD.
Το πρόβλημα αφορά συγκεκριμένα τις εξής εκδόσεις:
- Όλες τις εκδόσεις από 19.2 έως και την 19.2.7 (επιδιόρθωση στην έκδοση 19.2.8)
- Όλες τις εκδόσεις από 19.3 έως και την 19.3.4 (επιδιόρθωση στην έκδοση 19.3.5)
- Όλες τις εκδόσεις από 19.4 έως και την 19.4.1 (επιδιόρθωση στην έκδοση 19.4.2)
Επιπλέον ευπάθειες υψηλής σοβαρότητας
Πέρα από το κορυφαίο ζήτημα ασφαλείας, η ενημέρωση του GitLab καλύπτει τρεις ακόμη κρίσιμες ευπάθειες υψηλής σοβαρότητας:
- CVE-2026-92883 (CVSS: 8.7): Ευπάθεια διέσχισης δέσμης ενεργειών (XSS) που επιτρέπει την εκτέλεση JavaScript σε συνεδρίες άλλων χρηστών.
- CVE-2026-16301 (CVSS: 8.5): Σφάλμα ακατάλληλης εξουσιοδότησης στη δημιουργία διαδρομών ροής (pipelines) σε προστατευμένους κλάδους (protected branches).
- CVE-2026-14814 (CVSS: 8.2): Ευπάθεια κανονικής έκφρασης που καθιστά δυνατή τη «δηλητηρίαση» της προσωινής μνήμης (cache poisoning) για αρχεία αποθετηρίων.
Οι διαχειριστές συστημάτων καλούνται να προχωρήσουν άμεσα στις απαραίτητες αναβαθμίσεις των διακομιστών τους στις νεότερες εκδόσεις (19.4.2, 19.3.5 και 19.2.8) για την αποτροπή πιθανών επιθέσεων.