CVE-2026-7492
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W GitLab CE/EE w wersjach od 9.1 do 18.11.7, 19.0 do 19.0.4 oraz 19.1 do 19.1.2 wykryto lukę w mechanizmach autoryzacji na stronach odnośników międzyprojektowych. Umożliwia ona niezautoryzowanemu użytkownikowi sprawdzenie istnienia prywatnego projektu.
Ocena ryzyka
Ryzyko polega na możliwości ujawnienia istnienia prywatnych projektów osobom nieposiadającym uprawnień, co może naruszyć poufność i prowadzić do wycieku informacji o wewnętrznych projektach organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację GitLab do wersji 18.11.7, 19.0.4 lub 19.1.2 w zależności od używanej gałęzi. Należy również przejrzeć konfigurację uprawnień dla prywatnych projektów.
Inne podatności w GitLab
Zobacz wszystkie- CVE-2026-0723Wysokie
GitLab CE/EE w wersjach od 18.6 do 18.6.4, 18.7 do 18.7.2 i 18.8 do 18.8.2 zawiera podatność, która pozwala osobie znającej identyfikator poświadczeń ofiary na ominięcie uwierzytelniania dwuskładnikowego poprzez wysłanie sfałszowanych odpowiedzi urządzenia.
- CVE-2025-13928Wysokie
GitLab CE/EE w wersjach od 17.7 do 18.6.4, 18.7 do 18.7.2 i 18.8 do 18.8.2 zawiera podatność, która pozwala nieuwierzytelnionemu użytkownikowi na spowodowanie odmowy usługi (DoS) poprzez wykorzystanie nieprawidłowej walidacji autoryzacji w endpointach API.
- CVE-2025-13927Wysokie
GitLab CE/EE w wersjach od 11.9 do 18.6.4, 18.7 do 18.7.2 i 18.8 do 18.8.2 zawiera podatność, która pozwala nieuwierzytelnionemu użytkownikowi na spowodowanie odmowy usługi (DoS) poprzez wysyłanie spreparowanych żądań z nieprawidłowymi danymi uwierzytelniającymi.
- CVE-2025-11224Wysokie
GitLab naprawił problem w GitLab CE/EE dotyczący wszystkich wersji od 15.10 przed 18.3.6, 18.4 przed 18.4.4 i 18.5 przed 18.5.2, który mógł pozwolić uwierzytelnionemu użytkownikowi na wykonanie przechowywanego cross-site scripting (XSS) poprzez nieprawidłową walidację danych wejściowych w funkcjonalności proxy Kubernetes.
- CVE-2016-9469Wysokie
Wiele wersji GitLab naraża na niebezpieczną metodę, która może prowadzić do usunięcia wszystkich obiektów Issue i MergeRequest przez dowolnego uwierzytelnionego użytkownika. W przypadku projektów publicznych, podatność ta może być wykorzystana przez użytkowników nieautoryzowanych.
- CVE-2016-4340Wysokie
Funkcja impersonacji w Gitlabie w wersjach 8.7.0 oraz 8.6.0 do 8.6.7, 8.5.0 do 8.5.11, 8.4.0 do 8.4.9, 8.3.0 do 8.3.8 oraz 8.2.0 do 8.2.4 pozwala zdalnie uwierzytelnionym użytkownikom na 'logowanie' jako inny użytkownik za pomocą nieokreślonych wektorów.
- CVE-2026-19478Krytyczne
GitLab naprawił problem w GitLab CE/EE dotyczący wszystkich wersji od 18.2 przed 18.11.11, 19.0 przed 19.0.8, 19.1 przed 19.1.6 i 19.2 przed 19.2.4, który w określonych warunkach mógł pozwolić nieuwierzytelnionemu użytkownikowi na zdalną modyfikację lub usunięcie publicznych projektów i danych użytkowników za pomocą dyrektywy GraphQL.
- CVE-2021-22205KrytyczneAktywnie exploitowane
W GitLab CE/EE od wersji 11.9 wykryto podatność polegającą na nieprawidłowej walidacji plików graficznych przekazywanych do parsera. Umożliwia to zdalne wykonanie kodu.
- CVE-2026-77801Średnie
GitLab CE/EE w wersjach od 12.8 do przed 19.1.7, 19.2 przed 19.2.5 i 19.3 przed 19.3.1 zawiera podatność, która w określonych warunkach pozwala uwierzytelnionemu użytkownikowi na spowodowanie denial of service wpływającego na przetwarzanie zadań w tle z powodu braku limitów liczby obiektów.
- CVE-2026-3035Średnie
GitLab EE w wersjach od 11.3 do przed 19.1.7, 19.2 przed 19.2.5 i 19.3 przed 19.3.1 zawiera podatność, która w określonych warunkach pozwala uwierzytelnionemu użytkownikowi z uprawnieniami Maintainer projektu na dostęp do terminala chronionego środowiska, do którego nie był upoważniony, z powodu nieprawidłowej autoryzacji.
Oryginalny opis (angielski, źródło NVD)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 9.1 before 18.11.7, 19.0 before 19.0.4, and 19.1 before 19.1.2 that under certain conditions could have allowed an unauthenticated user to determine the existence of a private project due to improper authorization controls on cross-project reference pages.