CVE-2026-103549
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
GitLab CE/EE w wersjach od 17.6 do 19.2.8, 19.3 do 19.3.5 i 19.4 do 19.4.2 ma podatność, która w określonych warunkach mogła pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami maintainera na usunięcie niektórych metadanych rejestru pakietów, które reguły ochrony pakietów ograniczają do wyższych ról, z powodu nieprawidłowych kontroli autoryzacji.
Ocena ryzyka
Użytkownik z uprawnieniami maintainera może usunąć metadane rejestru pakietów, co może prowadzić do naruszenia integralności danych lub nieautoryzowanych zmian.
Rekomendacja
Zaleca się aktualizację GitLab do wersji 19.2.8, 19.3.5 lub 19.4.2.
Inne podatności w GitLab CE/EE
Zobacz wszystkie- CVE-2026-1659Wysokie
GitLab naprawił problem w GitLab CE/EE, który dotyczy wszystkich wersji od 9.0 przed 18.9.7, 18.10 przed 18.10.6 oraz 18.11 przed 18.11.3. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie odmowy usługi poprzez wysyłanie specjalnie przygotowanych żądań z powodu niewystarczającej walidacji danych wejściowych.
- CVE-2025-14870Wysokie
GitLab naprawił problem w GitLab CE/EE, który dotyczy wszystkich wersji od 18.5 przed 18.9.7, 18.10 przed 18.10.6 oraz 18.11 przed 18.11.3. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie odmowy usługi poprzez wysyłanie specjalnie przygotowanych ładunków JSON z powodu niewystarczającej walidacji wejścia.
- CVE-2025-14869Wysokie
GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 18.5 przed 18.9.7, 18.10 przed 18.10.6 oraz 18.11 przed 18.11.3. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie odmowy usługi poprzez wysyłanie specjalnie przygotowanych ładunków na określone punkty końcowe API.
- CVE-2026-93577Krytyczne
GitLab CE/EE w wersjach od 19.2 przed 19.2.7, od 19.3 przed 19.3.3 oraz od 19.4 przed 19.4.1 zawiera podatność związaną z przepełnieniem liczb całkowitych podczas kompilacji specjalnie spreparowanego wyrażenia regularnego w konfiguracji CI/CD. W określonych warunkach uwierzytelniony użytkownik może wykonać dowolny kod na serwerze GitLab.
- CVE-2026-89078Krytyczne
GitLab CE/EE w wersjach od 19.2 przed 19.2.7, od 19.3 przed 19.3.3 oraz od 19.4 przed 19.4.1 zawiera podatność typu double free podczas przetwarzania specjalnie spreparowanego wyrażenia regularnego w konfiguracji CI/CD. W określonych warunkach uwierzytelniony użytkownik może wykonać dowolny kod na serwerze GitLab.
- CVE-2023-7028KrytyczneAktywnie exploitowane
W GitLab CE/EE odkryto problem w wersjach od 16.1 przed 16.1.6, 16.2 przed 16.2.9, 16.3 przed 16.3.7, 16.4 przed 16.4.5, 16.5 przed 16.5.6, 16.6 przed 16.6.4 oraz 16.7 przed 16.7.2, polegający na tym, że e-maile resetujące hasło mogły być dostarczane na niezweryfikowany adres e-mail.
- CVE-2023-3364Wysokie
W GitLab CE/EE zidentyfikowano problem, który dotyczy wszystkich wersji od 8.14 do przed 16.0.8, od 16.1 do przed 16.1.3 oraz od 16.2 do przed 16.2.2. Możliwe było przeprowadzenie ataku typu Denial of Service (DoS) za pomocą specjalnie przygotowanych ładunków, które wykorzystują AutolinkFilter w punkcie końcowym preview_markdown.
- CVE-2021-39935ŚrednieAktywnie exploitowane
W GitLab CE/EE odkryto problem dotyczący wszystkich wersji od 10.5 przed 14.3.6, od 14.4 przed 14.4.4 oraz od 14.5 przed 14.5.2. Nieautoryzowani zewnętrzni użytkownicy mogą wykonywać żądania po stronie serwera poprzez API CI Lint.
- CVE-2026-92883Wysokie
W GitLab CE/EE wykryto podatność, która w określonych warunkach mogła pozwolić uwierzytelnionemu użytkownikowi na wykonanie dowolnego JavaScriptu w kontekście sesji przeglądarki innych użytkowników poprzez specjalnie spreparowane repozytorium. Problem dotyczy wersji od 19.1 do 19.2.8, 19.3 do 19.3.5 oraz 19.4 do 19.4.2.
- CVE-2026-85529Średnie
W GitLab CE/EE w wersjach od 19.2 do 19.2.8, 19.3 do 19.3.5 i 19.4 do 19.4.2 naprawiono problem, który w określonych warunkach mógł pozwolić nieuwierzytelnionemu użytkownikowi na odczyt wewnętrznych notatek i poufnych notatek systemowych w publicznych projektach z powodu nieprawidłowej autoryzacji w API GraphQL.
Oryginalny opis (angielski, źródło NVD)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 17.6 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user with maintainer-role permissions to remove certain package registry metadata that package protection rules restrict to higher roles, due to improper authorization checks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS