CVE-2026-15423
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
GitLab CE/EE w wersjach od 19.0 do 19.0.6, 19.1 do 19.1.4 i 19.2 do 19.2.2 ma podatność, która w określonych warunkach mogła pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami dewelopera na uruchamianie potoków CI/CD na chronionej gałęzi bez wymaganych uprawnień do wypychania zmian z powodu nieprawidłowej autoryzacji w walidacji referencji potoku.
Ocena ryzyka
Uwierzytelniony użytkownik z uprawnieniami dewelopera może uruchamiać potoki CI/CD na chronionych gałęziach, co może prowadzić do nieautoryzowanych zmian w kodzie i naruszenia integralności repozytorium.
Rekomendacja
Zaktualizuj GitLab CE/EE do wersji 19.0.6, 19.1.4 lub 19.2.2 (lub nowszej) w zależności od używanej wersji. Przejrzyj uprawnienia użytkowników z rolą dewelopera.
Oryginalny opis (angielski, źródło NVD)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 19.0 before 19.0.6, 19.1 before 19.1.4, and 19.2 before 19.2.2 that under certain conditions could have allowed an authenticated user with developer-role permissions to execute CI/CD pipelines on a protected branch without the required push permissions due to improper authorization in pipeline reference validation.