CVE-2026-18433
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W GitLab EE w wersjach od 19.1 przed 19.1.4 oraz 19.2 przed 19.2.2, w pewnych warunkach uwierzytelniony użytkownik mógł odczytać konfigurację polityk należącą do przestrzeni nazw, do której nie miał autoryzacji, z powodu błędnych kontroli autoryzacji w zapytaniu GraphQL.
Ocena ryzyka
Uwierzytelniony użytkownik może uzyskać dostęp do poufnych konfiguracji polityk, co może naruszyć poufność i zasady bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację GitLab EE do wersji 19.1.4 lub 19.2.2 albo nowszej.
Oryginalny opis (angielski, źródło NVD)
GitLab has remediated an issue in GitLab EE affecting all versions from 19.1 before 19.1.4 and 19.2 before 19.2.2 that under certain conditions could have allowed an authenticated user to read policy configuration belonging to a namespace they were not authorized to access, due to incorrect authorization checks in a GraphQL query.