Безопасность 13 октября 2026, 11:40 МСК

GitLab закрыла критическую уязвимость CVSS 10,0, позволявшую выполнить код без авторизации

GitLab выпустила обновления 19.4.2, 19.3.5 и 19.2.8, исправив 24 уязвимости, включая критическую CVE-2026-97229.

Обновления для Community Edition и Enterprise Edition вышли 12 октября. Критическая ошибка связана с недостаточной проверкой регулярных выражений в конфигурации CI/CD: из-за целочисленного переполнения злоумышленник мог удалённо выполнить произвольный код на сервере без авторизации. Уязвимость получила максимальную оценку 10,0 по CVSS и затрагивала версии 19.2 до 19.2.8, 19.3 до 19.3.5 и 19.4 до 19.4.2.

Также устранены пять уязвимостей высокого уровня, среди них XSS при подсветке синтаксиса, ошибка проверки прав для роли Developer в защищённых ветках, подмена кешированных ответов и проблема в GitLab Duo Agent Platform. Исправлены и ошибки среднего и низкого уровней.

Администраторам собственных экземпляров рекомендуют обновиться как можно скорее; на односерверных установках возможен временный простой из-за миграций. Версию 19.3.4 разработчики не советуют: в ней есть ошибка на страницах запросов на слияние при интеграции Ona. GitLab.com уже обновлён, пользователям GitLab Dedicated действия не нужны.

• CVE-2026-97229, CVSS 10,0
• Исправлено 24 уязвимости, пять из них высокого уровня
• Версии: 19.4.2, 19.3.5, 19.2.8