GitLab, Topluluk Sürümü (CE) ve Kurumsal Sürüm (EE) yazılımını etkileyen ve keyfi kod çalıştırılmasına yol açabilen maksimum şiddetli bir güvenlik açığı için yama yayınladı.
Şirket Pazartesi günkü duyurusunda, "Bazı koşullar altında, yetersiz düzenli ifade doğrulaması nedeniyle özel olarak hazırlanmış bir düzenli ifade ile CI/CD yapılandırması üzerinden kimlik doğrulaması yapılmamış bir kullanıcının GitLab sunucusunda keyfi kod çalıştırmasına izin verebilecek bir sorunu giderdik" dedi.
CVE-2026-97229 olarak izlenen açık, tamsayı taşması sorunu olarak tanımlandı. Açık CVSS 10.0 puanı taşıyor. Açık aşağıdaki sürümleri etkiliyor:
19.2 sürümünden 19.2.8 öncesine kadar tüm sürümler
19.3 sürümünden 19.3.5 öncesine kadar tüm sürümler
19.4 sürümünden 19.4.2 öncesine kadar tüm sürümler
Açık için yamalar 19.4.2, 19.3.5 ve 19.2.8 sürümlerinde kullanıma sunuldu. Ayrıca üç yüksek şiddetli hata daha giderildi:
CVE-2026-92883 (CVSS puanı: 8.7) - Özel olarak hazırlanmış bir depo üzerinden kimliği doğrulanmış bir kullanıcının diğer kullanıcıların tarayıcı oturumları bağlamında keyfi JavaScript çalıştırmasına izin verebilecek çapraz site betikleme açığı.
CVE-2026-16301 (CVSS puanı: 8.5) - Aşağı akış boru hattı oluşturma hizmetindeki yetkisiz erişim açığı, Geliştirici rolüne sahip kimliği doğrulanmış bir kullanıcının korumalı dallarda CI/CD boru hatlarını çalıştırmasına izin verebiliyor.
CVE-2026-14814 (CVSS puanı: 8.2) - Ham depo dosyaları için önbelleğe alınmış yanıtların zehirlenmesine izin verebilecek müsamahalı düzenli ifade açığı, hedeflenen kullanıcıların CI/CD boru hatlarının özel olarak hazırlanmış içerik çalıştırmasına neden olarak korumalı ortam değişkenlerinin açığa çıkmasına yol açabiliyor.
Açıklama, şirketin AI Gateway'de (CVE-2026-90970, CVSS puanı: 9.9) kritik bir açığı gidermesinden haftalar sonra geldi. Bu açık, Duo Agent Platform erişimine sahip kimliği doğrulanmış bir kullanıcının özel olarak hazırlanmış bir akış yapılandırması üzerinden istem şablonu kum havuzundan çıkarak AI Gateway'de keyfi komut çalıştırmasına izin verebiliyordu.
Geçen ay, GitLab CE ve EE'de (CVE-2026-85706, CVSS puanı: 10.0) bir başka maksimum şiddetli güvenlik açığı kamuya açıklanmasından saatler içinde gerçek saldırılarda tarama gördü.
