GitLab heeft een kritieke kwetsbaarheid met CVSS-score 10.0 gepatcht die ongeauthenticeerde gebruikers in staat stelde om servercode uit te voeren via CI/CD-configuraties.
GitLab heeft beveiligingsupdates uitgebracht voor een ernstige kwetsbaarheid in zowel de Community Edition (CE) als Enterprise Edition (EE) van hun software, die het mogelijk maakte voor ongeauthenticeerde gebruikers om willekeurige code op de server uit te voeren. Volgens een advies van GitLab werd de kwetsbaarheid veroorzaakt door onvoldoende validatie van reguliere expressies in CI/CD-configuraties, wat onder bepaalde omstandigheden misbruik mogelijk maakte.
De kwetsbaarheid, geregistreerd als CVE-2026-97229, betreft een integer overflow en heeft een maximale CVSS-score van 10.0. Deze treft alle versies van GitLab vanaf 19.2 tot en met 19.4 vóór respectievelijk 19.2.8, 19.3.5 en 19.4.2. De patches zijn beschikbaar in deze laatstgenoemde versies. Naast deze kritieke fout zijn ook drie andere kwetsbaarheden met hoge ernst verholpen. Deze omvatten een cross-site scripting (CVE-2026-92883, CVSS 8.7) die een geauthenticeerde gebruiker in staat stelde om JavaScript uit te voeren in browsersessies van andere gebruikers, een onjuiste autorisatie in de downstream pipeline creatiedienst (CVE-2026-16301, CVSS 8.5) waardoor ontwikkelaars CI/CD-pijplijnen op beschermde branches konden uitvoeren, en een permissieve reguliere expressie kwetsbaarheid (CVE-2026-14814, CVSS 8.2) die caching kon vergiftigen en zo gevoelige variabelen bloot kon stellen.
Deze beveiligingsupdates volgen kort op de fix van een kritieke kwetsbaarheid in de AI Gateway (CVE-2026-90970, CVSS 9.9), waarbij een geauthenticeerde gebruiker met toegang tot het Duo Agent Platform via een speciaal samengestelde flowconfiguratie uit de sandbox kon ontsnappen en willekeurige commando’s kon uitvoeren. Eerder deze maand werd ook een andere CVSS 10.0-kwetsbaarheid in GitLab CE en EE publiek bekend, die binnen enkele uren na openbaarmaking al werd gescand in het wild.
