GitLab publikuje aktualizacje dla swoich produktów. (P26-375)

utworzone przez | wrz 24, 2026 | Aktualizacje

ProduktGitLab Enterprise Edition: wszystkie wersje od 19.2 do wersji poprzedzającej 19.2.7, od 19.3 do wersji poprzedzającej 19.3.3 oraz od 19.4 do wersji poprzedzającej 19.4.1
GitLab Community Edition: wszystkie wersje od 19.2 do wersji poprzedzającej 19.2.7, od 19.3 do wersji poprzedzającej 19.3.3 oraz od 19.4 do wersji poprzedzającej 19.4.1
Numer CVECVE-2026-89078
Krytyczność9.9/10
CVSSAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L
OpisGitLab usunął błąd, który w określonych warunkach mógł umożliwić uwierzytelnionemu użytkownikowi wykonanie dowolnego kodu na serwerze GitLab; przyczyną była podatność typu „double free” występująca podczas przetwarzania specjalnie spreparowanego wyrażenia regularnego w konfiguracji CI/CD.
  
Numer CVECVE-2026-93577
Krytyczność9.9/10
CVSSAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
OpisGitLab usunął lukę, która w określonych warunkach mogła umożliwić uwierzytelnionemu użytkownikowi wykonanie dowolnego kodu na serwerze GitLab; przyczyną był błąd przepełnienia liczby całkowitej (integer overflow) występujący podczas kompilacji specjalnie przygotowanego wyrażenia regularnego w konfiguracji CI/CD.
  
Numer CVECVE-2026-84739
Krytyczność8.7/10
CVSSAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
OpisGitLab usunął lukę, która w określonych warunkach mogła umożliwić uwierzytelnionemu użytkownikowi wykonanie dowolnego kodu JavaScript w kontekście sesji przeglądarki innego użytkownika, co wynikało z niewłaściwej sanitizacji elementów ścieżki w module podglądu różnic (diff viewer) dla żądań scalenia (merge requests).
  
Numer CVECVE-2026-92470
Krytyczność7.7/10
CVSSAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
OpisGitLab usunął lukę, która w określonych warunkach – wskutek braku weryfikacji uprawnień – mogła umożliwić uwierzytelnionemu użytkownikowi dostęp do poufnych wartości zmiennych CI/CD zawartych w logach zadań uruchomionych w trybie debugowania, za pośrednictwem funkcji rozwiązywania problemów Duo AI.
  
Numer CVECVE-2026-92874
Krytyczność5.4/10
CVSSAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
OpisGitLab usunął błąd, który w określonych warunkach mógł umożliwić uwierzytelnionemu użytkownikowi, dysponującemu tokenem o zakresie MCP, wykonanie działań wykraczających poza zamierzony zakres tego tokena – a wszystko to na skutek nieprawidłowej weryfikacji uprawnień.
  
Numer CVECVE-2026-92530
Krytyczność4.3/10
CVSSAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
OpisGitLab usunął błąd, który w określonych warunkach mógł umożliwić uwierzytelnionemu użytkownikowi podszycie się pod autora żądania scalenia (merge request) i przypisanie jego zawartości dowolnemu istniejącemu użytkownikowi w danej instancji; problem wynikał z niewłaściwego polegania na nietrwałym stanie pamięci podręcznej podczas importu metodą Direct Transfer.
  
Numer CVECVE-2026-8937
Krytyczność4.3/10
CVSSAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
OpisGitLab usunął błąd, który w określonych warunkach mógł umożliwić uwierzytelnionemu użytkownikowi odczytanie zawartości prywatnych zadań podrzędnych (w tym ich tytułów i opisów) w projektach, do których nie miał uprawnień; wynikało to z braku weryfikacji uprawnień dla powiązanych elementów pracy w obrębie widocznych epików.
  
Numer CVECVE-2026-92529
Krytyczność4.3/10
CVSSAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
OpisGitLab usunął problem, który w pewnych okolicznościach mógł umożliwić uwierzytelnionemu użytkownikowi z uprawnieniami programisty ominięcie skonfigurowanych przez administratora kontroli zarządzania narzędziami AI dla przepływów pracy w przestrzeniach nazw, nad którymi nie ma kontroli, z powodu nieprawidłowych kontroli autoryzacji.
  
Numer CVECVE-2026-10518
Krytyczność4.3/10
CVSSAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
OpisGitLab usunął błąd, który w określonych warunkach mógł umożliwić uwierzytelnionemu użytkownikowi z uprawnieniami na poziomie „gościa” odczytanie treści prywatnych polityk bezpieczeństwa – do których nie miał on uprawnień – na skutek nieprawidłowej weryfikacji uprawnień.
  
Numer CVECVE-2026-4523
Krytyczność3.7/10
CVSSAV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
OpisGitLab usunął lukę, która w określonych warunkach mogła umożliwić nieuwierzytelnionemu użytkownikowi odczytanie zawartości logów zadań CI/CD zawierających wartości poufnych zmiennych, co wynikało z nieprawidłowej weryfikacji uprawnień w API GraphQL.
  
Numer CVECVE-2026-92628
Krytyczność3.1/10
CVSSAV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N
OpisGitLab usunął błąd, w przypadku którego – na skutek wystąpienia wyścigu (race condition) – sposób obsługi stanu współdzielonego przez narzędzie wyszukiwania MCP mógł prowadzić do zwracania wyników w niewłaściwym kontekście użytkownika.
  
AktualizacjaTAK
Linkhttps://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-1-released/