CVE-2026-16494

GitLab CE/EE w wersjach od 18.6 do 18.6.4, 18.7 do 18.7.2 i 18.8 do 18.8.2 zawiera podatność, która pozwala osobie znającej identyfikator poświadczeń ofiary na ominięcie uwierzytelniania dwuskładnikowego poprzez wysłanie sfałszowanych odpowiedzi urządzenia.

GitLab CE/EE w wersjach od 17.7 do 18.6.4, 18.7 do 18.7.2 i 18.8 do 18.8.2 zawiera podatność, która pozwala nieuwierzytelnionemu użytkownikowi na spowodowanie odmowy usługi (DoS) poprzez wykorzystanie nieprawidłowej walidacji autoryzacji w endpointach API.

GitLab CE/EE w wersjach od 11.9 do 18.6.4, 18.7 do 18.7.2 i 18.8 do 18.8.2 zawiera podatność, która pozwala nieuwierzytelnionemu użytkownikowi na spowodowanie odmowy usługi (DoS) poprzez wysyłanie spreparowanych żądań z nieprawidłowymi danymi uwierzytelniającymi.

GitLab naprawił problem w GitLab CE/EE dotyczący wszystkich wersji od 15.10 przed 18.3.6, 18.4 przed 18.4.4 i 18.5 przed 18.5.2, który mógł pozwolić uwierzytelnionemu użytkownikowi na wykonanie przechowywanego cross-site scripting (XSS) poprzez nieprawidłową walidację danych wejściowych w funkcjonalności proxy Kubernetes.

Wiele wersji GitLab naraża na niebezpieczną metodę, która może prowadzić do usunięcia wszystkich obiektów Issue i MergeRequest przez dowolnego uwierzytelnionego użytkownika. W przypadku projektów publicznych, podatność ta może być wykorzystana przez użytkowników nieautoryzowanych.

Funkcja impersonacji w Gitlabie w wersjach 8.7.0 oraz 8.6.0 do 8.6.7, 8.5.0 do 8.5.11, 8.4.0 do 8.4.9, 8.3.0 do 8.3.8 oraz 8.2.0 do 8.2.4 pozwala zdalnie uwierzytelnionym użytkownikom na 'logowanie' jako inny użytkownik za pomocą nieokreślonych wektorów.

GitLab CE/EE w wersjach od 19.2 do 19.2.8, 19.3 do 19.3.5 oraz 19.4 do 19.4.2 zawiera podatność, która w określonych warunkach może pozwolić nieuwierzytelnionemu użytkownikowi na wykonanie dowolnego kodu na serwerze GitLab. Problem wynika z niewystarczającej walidacji wyrażeń regularnych w konfiguracji CI/CD.

W GitLab EE występuje luka pozwalająca uwierzytelnionemu użytkownikowi z dostępem do Duo Chat na uzyskanie konfiguracji Advanced Search oraz poufnych poświadczeń. Atakujący wykorzystuje specjalnie spreparowany argument subskrypcji GraphQL do obejścia serializacji i wykonania wyszukiwania obiektów serwera.

GitLab naprawił problem w GitLab CE/EE dotyczący wszystkich wersji od 18.2 przed 18.11.11, 19.0 przed 19.0.8, 19.1 przed 19.1.6 i 19.2 przed 19.2.4, który w określonych warunkach mógł pozwolić nieuwierzytelnionemu użytkownikowi na zdalną modyfikację lub usunięcie publicznych projektów i danych użytkowników za pomocą dyrektywy GraphQL.