CVE-2026-82632
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
GitLab CE/EE w wersjach od 18.9 do 19.2.8, 19.3 do 19.3.5 i 19.4 do 19.4.2 ma podatność, która w określonych warunkach mogła pozwolić uwierzytelnionemu użytkownikowi z tokenem Personal Access Token o ograniczonym zakresie importu na importowanie projektów do grup poza zamierzonym zakresem, z powodu nieprawidłowej autoryzacji docelowej przestrzeni nazw.
Ocena ryzyka
Użytkownik z tokenem o ograniczonych uprawnieniach może importować projekty do grup, do których nie powinien mieć dostępu, co może prowadzić do nieautoryzowanego dostępu do danych.
Rekomendacja
Zaleca się aktualizację GitLab do wersji 19.2.8, 19.3.5 lub 19.4.2.
Inne podatności w GitLab CE/EE
Zobacz wszystkie- CVE-2026-1659Wysokie
GitLab naprawił problem w GitLab CE/EE, który dotyczy wszystkich wersji od 9.0 przed 18.9.7, 18.10 przed 18.10.6 oraz 18.11 przed 18.11.3. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie odmowy usługi poprzez wysyłanie specjalnie przygotowanych żądań z powodu niewystarczającej walidacji danych wejściowych.
- CVE-2025-14870Wysokie
GitLab naprawił problem w GitLab CE/EE, który dotyczy wszystkich wersji od 18.5 przed 18.9.7, 18.10 przed 18.10.6 oraz 18.11 przed 18.11.3. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie odmowy usługi poprzez wysyłanie specjalnie przygotowanych ładunków JSON z powodu niewystarczającej walidacji wejścia.
- CVE-2025-14869Wysokie
GitLab naprawił problem w GitLab CE/EE, który dotyczył wszystkich wersji od 18.5 przed 18.9.7, 18.10 przed 18.10.6 oraz 18.11 przed 18.11.3. Problem ten mógł pozwolić nieautoryzowanemu użytkownikowi na spowodowanie odmowy usługi poprzez wysyłanie specjalnie przygotowanych ładunków na określone punkty końcowe API.
- CVE-2026-93577Krytyczne
GitLab CE/EE w wersjach od 19.2 przed 19.2.7, od 19.3 przed 19.3.3 oraz od 19.4 przed 19.4.1 zawiera podatność związaną z przepełnieniem liczb całkowitych podczas kompilacji specjalnie spreparowanego wyrażenia regularnego w konfiguracji CI/CD. W określonych warunkach uwierzytelniony użytkownik może wykonać dowolny kod na serwerze GitLab.
- CVE-2026-89078Krytyczne
GitLab CE/EE w wersjach od 19.2 przed 19.2.7, od 19.3 przed 19.3.3 oraz od 19.4 przed 19.4.1 zawiera podatność typu double free podczas przetwarzania specjalnie spreparowanego wyrażenia regularnego w konfiguracji CI/CD. W określonych warunkach uwierzytelniony użytkownik może wykonać dowolny kod na serwerze GitLab.
- CVE-2023-7028KrytyczneAktywnie exploitowane
W GitLab CE/EE odkryto problem w wersjach od 16.1 przed 16.1.6, 16.2 przed 16.2.9, 16.3 przed 16.3.7, 16.4 przed 16.4.5, 16.5 przed 16.5.6, 16.6 przed 16.6.4 oraz 16.7 przed 16.7.2, polegający na tym, że e-maile resetujące hasło mogły być dostarczane na niezweryfikowany adres e-mail.
- CVE-2023-3364Wysokie
W GitLab CE/EE zidentyfikowano problem, który dotyczy wszystkich wersji od 8.14 do przed 16.0.8, od 16.1 do przed 16.1.3 oraz od 16.2 do przed 16.2.2. Możliwe było przeprowadzenie ataku typu Denial of Service (DoS) za pomocą specjalnie przygotowanych ładunków, które wykorzystują AutolinkFilter w punkcie końcowym preview_markdown.
- CVE-2021-39935ŚrednieAktywnie exploitowane
W GitLab CE/EE odkryto problem dotyczący wszystkich wersji od 10.5 przed 14.3.6, od 14.4 przed 14.4.4 oraz od 14.5 przed 14.5.2. Nieautoryzowani zewnętrzni użytkownicy mogą wykonywać żądania po stronie serwera poprzez API CI Lint.
- CVE-2026-92883Wysokie
W GitLab CE/EE wykryto podatność, która w określonych warunkach mogła pozwolić uwierzytelnionemu użytkownikowi na wykonanie dowolnego JavaScriptu w kontekście sesji przeglądarki innych użytkowników poprzez specjalnie spreparowane repozytorium. Problem dotyczy wersji od 19.1 do 19.2.8, 19.3 do 19.3.5 oraz 19.4 do 19.4.2.
- CVE-2026-85529Średnie
W GitLab CE/EE w wersjach od 19.2 do 19.2.8, 19.3 do 19.3.5 i 19.4 do 19.4.2 naprawiono problem, który w określonych warunkach mógł pozwolić nieuwierzytelnionemu użytkownikowi na odczyt wewnętrznych notatek i poufnych notatek systemowych w publicznych projektach z powodu nieprawidłowej autoryzacji w API GraphQL.
Oryginalny opis (angielski, źródło NVD)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.9 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user with a fine-grained Personal Access Token scoped only to user-boundary import permissions to import projects into group namespaces beyond the token's intended scope, due to incorrect authorization of the import target namespace.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS