Разработчики выпустили экстренные патчи версий 19.4.2, 19.3.4 и 19.2.8 для редакций Community Edition и Enterprise Edition. Обновления устраняют критическую уязвимость CVE-2026-97229 с максимальной оценкой 10,0 баллов по шкале CVSS. Ошибка переполнения целых чисел в механизме компиляции регулярных выражений CI/CD позволяет неаутентифицированным злоумышленникам удалённо выполнять произвольный код на целевых серверах, о чём сообщило издание BleepingComputer.
Уязвимость обнаружил ИБ-исследователь под псевдонимом
joaxcar, который передал отчёт через официальную программу выплаты вознаграждений за найденные ошибки на платформе HackerOne. Проблема локализована в компоненте CI/CD Regular Expression Compiler, отвечающем за синтаксический анализ, компиляцию и вычисление регулярных выражений в файлах конфигурации конвейеров. Из-за недостаточной проверки регулярных выражений атакующий может внедрить специально сформированную конструкцию в конфигурацию CI/CD и использовать целочисленное переполнение для выполнения произвольных системных команд без авторизации.Вместе с критической проблемой разработчики GitLab закрыли ряд других опасных уязвимостей. Среди них выделяются межсайтовый скриптинг CVE-2026-92883 в модуле подсветки синтаксиса с оценкой CVSS 8,7, о котором сообщил пользователь a0xnirudh, и ошибка разграничения доступа CVE-2026-16301 в службе создания дочерних конвейеров. Кроме того, внутренняя проверка выявила уязвимость CVE-2026-96893 в платформе GitLab Duo Agent Platform, связанную с некорректной нейтрализацией входных данных при формировании контекста промптов для больших языковых моделей.
👆Платформой пользуются свыше 30 млн зарегистрированных пользователей и более 50% корпораций из списка Fortune 100, включая Nvidia, T-Mobile, Lockheed Martin, Airbus и Goldman Sachs. Облачный сервис GitLab[.]com уже обновлён до безопасной версии, а клиентам изолированного сервиса GitLab Dedicated не требуется предпринимать никаких действий. Владельцам локальных автономных инсталляций рекомендовано применить патчи в срочном порядке.
✋ @Russian_OSINT