CVE-2026-96893

GitLab naprawił problem w GitLab EE, który dotyczy wszystkich wersji od 18.8 przed 18.10.7, 18.11 przed 18.11.4 oraz 19.0 przed 19.0.1. W określonych warunkach, uwierzytelniony użytkownik mógł spowodować uruchomienie określonych procesów Duo AI pod tożsamością innego użytkownika z powodu niewłaściwego rozpoznawania tożsamości użytkownika.

GitLab naprawił problem w GitLab EE, który dotyczył wszystkich wersji od 16.4 przed 18.9.7, 18.10 przed 18.10.6 oraz 18.11 przed 18.11.3. Problem ten mógł pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami dewelopera na wykonanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników z powodu niewłaściwej sanitizacji danych wejściowych.

GitLab naprawił problem w GitLab EE, który dotyczy wszystkich wersji od 18.7 przed 18.9.7, 18.10 przed 18.10.6 oraz 18.11 przed 18.11.3. W dostosowywalnych pulpitach analitycznych, uwierzytelniony użytkownik mógł wykonać dowolny kod JavaScript w kontekście przeglądarek innych użytkowników z powodu niewłaściwej sanitizacji danych wejściowych.

GitLab naprawił problem w GitLab EE, który dotyczył wszystkich wersji od 18.7 przed 18.9.7, 18.10 przed 18.10.6 oraz 18.11 przed 18.11.3. Problem ten mógł pozwolić uwierzytelnionemu użytkownikowi na wykonanie dowolnego JavaScriptu w przeglądarkach innych użytkowników z powodu niewłaściwego oczyszczania danych wejściowych.

GitLab EE w wersjach od 13.6 do 19.2.8, 19.3 do 19.3.5 i 19.4 do 19.4.2 ma podatność, która w określonych warunkach mogła pozwolić uwierzytelnionemu użytkownikowi z ograniczonymi uprawnieniami na modyfikację ustawień rollbacku CI/CD bez autoryzacji, z powodu niewystarczających kontroli dostępu.

W GitLab EE w wersjach od 16.11 do 19.2.8, 19.3 do 19.3.5 i 19.4 do 19.4.2 naprawiono problem, który w określonych warunkach mógł pozwolić uwierzytelnionemu użytkownikowi na zatwierdzenie merge requesta, mimo że wniósł do niego commity, z powodu nieprawidłowej identyfikacji tożsamości.

W GitLab EE wykryto podatność, która w określonych warunkach mogła pozwolić uwierzytelnionemu użytkownikowi na wykonanie dowolnych potoków CI/CD w przeniesionym projekcie z uprawnieniami nowej grupy. Problem dotyczy wersji od 18.1 do 19.2.8, 19.3 do 19.3.5 oraz 19.4 do 19.4.2.

GitLab EE zawiera błąd w kontroli autoryzacji, który w określonych warunkach pozwala uwierzytelnionemu użytkownikowi z rolą developer na obejście kontroli zarządzania narzędziami AI skonfigurowanymi przez administratora dla przepływów pracy w przestrzeniach nazw, którymi nie zarządza. Problem dotyczy wersji od 19.1 przed 19.2.7, 19.3 przed 19.3.3 oraz 19.4 przed 19.4.1.

GitLab EE w wersjach od 18.7 przed 19.2.7, 19.3 przed 19.3.3 i 19.4 przed 19.4.1 ma lukę, która w określonych warunkach mogła pozwolić uwierzytelnionemu użytkownikowi na dostęp do wrażliwych wartości zmiennych CI/CD z logów zadań w trybie debugowania przez funkcję Duo AI troubleshooting z powodu brakujących kontroli autoryzacji.

GitLab naprawił problem w GitLab EE dotyczący wszystkich wersji od 17.1 przed 19.1.8, 19.2 przed 19.2.6 i 19.3 przed 19.3.2, który w określonych warunkach mógł pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami Owner lub Maintainer na ciche wyłączenie wymagań zatwierdzania wdrożeń w środowiskach chronionych, umożliwiając niezatwierdzone wdrożenia do produkcji, z powodu nieprawidłowej kontroli dostępu po modyfikacji chronionego zasobu.