---
title: "GitLab, kimlik doğrulaması yapılmamış kullanıcıların sunucu kodunu çalıştırabileceği CVSS 10.0 açığı için yama yayınladı"
url: "https://teknotayf.com/haber/gitlab-kimlik-dogrulamasi-yapilmamis-kullanicilarin-sunucu-kodunu-calistirabilecegi-cvss-10-0-acigi-icin-yama-yayinladi"
markdown_url: "https://teknotayf.com/haber/gitlab-kimlik-dogrulamasi-yapilmamis-kullanicilarin-sunucu-kodunu-calistirabilecegi-cvss-10-0-acigi-icin-yama-yayinladi.md"
site: "teknotayf.com"
language: "tr"
published: "2026-10-13 11:43:37"
updated: "2026-10-14 02:28:43"
category: "Siber Güvenlik"
tags: ["Cvss 10.0","Kod Çalıştırma","DevSecOps","GitLab Güvenlik Açığı","CI/CD"]
source: "The Hacker News"
---

# GitLab, kimlik doğrulaması yapılmamış kullanıcıların sunucu kodunu çalıştırabileceği CVSS 10.0 açığı için yama yayınladı

> **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/gitlab-kimlik-dogrulamasi-yapilmamis-kullanicilarin-sunucu-kodunu-calistirabilecegi-cvss-10-0-acigi-icin-yama-yayinladi  
> Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır.

**Özet:** GitLab, kimlik doğrulaması yapılmamış bir kullanıcının özel düzenli ifadeyle CI/CD yapılandırması üzerinden sunucuda keyfi kod çalıştırmasına izin veren kritik açığı kapattı. Sorun CVE-2026-97229 olarak izleniyor ve 19.2, 19.3 ile 19.4 serilerinin belirli sürümlerini etkiliyor. Şirket aynı duyuruda üç yüksek şiddetli güvenlik hatasını da giderdiğini açıkladı.

- **Yayın tarihi:** 2026-10-13 11:43
- **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik)
- **Etiketler:** Cvss 10.0, Kod Çalıştırma, DevSecOps, GitLab Güvenlik Açığı, CI/CD
- **Yazan:** TeknoTayf.com
- **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/gitlab-patches-cvss-100-flaw-that-could.html)

![GitLab, kimlik doğrulaması yapılmamış kullanıcıların sunucu kodunu çalıştırabileceği CVSS 10.0 açığı için yama yayınladı](https://teknotayf.com/assets/uploads/2026/10/b2bbec216307031c19c496583458a9f4.webp)

**GitLab**, Topluluk Sürümü (CE) ve Kurumsal Sürüm (EE) yazılımını etkileyen ve keyfi kod çalıştırılmasına yol açabilen maksimum şiddetli bir güvenlik açığı için yama yayınladı.

Şirket Pazartesi günkü duyurusunda, "Bazı koşullar altında, yetersiz düzenli ifade doğrulaması nedeniyle özel olarak hazırlanmış bir düzenli ifade ile CI/CD yapılandırması üzerinden kimlik doğrulaması yapılmamış bir kullanıcının GitLab sunucusunda keyfi kod çalıştırmasına izin verebilecek bir sorunu giderdik" dedi.

**CVE-2026-97229** olarak izlenen açık, tamsayı taşması sorunu olarak tanımlandı. Açık **CVSS 10.0** puanı taşıyor. Açık aşağıdaki sürümleri etkiliyor:

19.2 sürümünden 19.2.8 öncesine kadar tüm sürümler

19.3 sürümünden 19.3.5 öncesine kadar tüm sürümler

19.4 sürümünden 19.4.2 öncesine kadar tüm sürümler

Açık için yamalar 19.4.2, 19.3.5 ve 19.2.8 sürümlerinde kullanıma sunuldu. Ayrıca üç yüksek şiddetli hata daha giderildi:

CVE-2026-92883 (CVSS puanı: 8.7) - Özel olarak hazırlanmış bir depo üzerinden kimliği doğrulanmış bir kullanıcının diğer kullanıcıların tarayıcı oturumları bağlamında keyfi JavaScript çalıştırmasına izin verebilecek çapraz site betikleme açığı.

CVE-2026-16301 (CVSS puanı: 8.5) - Aşağı akış boru hattı oluşturma hizmetindeki yetkisiz erişim açığı, Geliştirici rolüne sahip kimliği doğrulanmış bir kullanıcının korumalı dallarda CI/CD boru hatlarını çalıştırmasına izin verebiliyor.

CVE-2026-14814 (CVSS puanı: 8.2) - Ham depo dosyaları için önbelleğe alınmış yanıtların zehirlenmesine izin verebilecek müsamahalı düzenli ifade açığı, hedeflenen kullanıcıların CI/CD boru hatlarının özel olarak hazırlanmış içerik çalıştırmasına neden olarak korumalı ortam değişkenlerinin açığa çıkmasına yol açabiliyor.

Açıklama, şirketin AI Gateway'de (CVE-2026-90970, CVSS puanı: 9.9) kritik bir açığı gidermesinden haftalar sonra geldi. Bu açık, Duo Agent Platform erişimine sahip kimliği doğrulanmış bir kullanıcının özel olarak hazırlanmış bir akış yapılandırması üzerinden istem şablonu kum havuzundan çıkarak AI Gateway'de keyfi komut çalıştırmasına izin verebiliyordu.

Geçen ay, GitLab CE ve EE'de (CVE-2026-85706, CVSS puanı: 10.0) bir başka maksimum şiddetli güvenlik açığı kamuya açıklanmasından saatler içinde gerçek saldırılarda tarama gördü.

---

**Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/gitlab-kimlik-dogrulamasi-yapilmamis-kullanicilarin-sunucu-kodunu-calistirabilecegi-cvss-10-0-acigi-icin-yama-yayinladi  
Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.