На платформе обнаружили опасную уязвимость, которая позволяет злоумышленникам удаленно выполнять код на серверах без авторизации. Проблема затрагивает версии программы, выпущенные за последние 12 лет, а ее критичность оценили в максимальные 10 баллов.
На платформе обнаружили опасную уязвимость, которая позволяет злоумышленникам удаленно выполнять код на серверах без авторизации. Проблема затрагивает версии программы, выпущенные за последние 12 лет, а ее критичность оценили в максимальные 10 баллов.
Уязвимость CVE-2026-110264 присутствует в GitLab начиная с версии 7.0, выпущенной еще в июне 2014 года. Она затрагивает как бесплатную Community Edition, так и коммерческую Enterprise Edition.
Ошибка связана с обработкой регулярных выражений — шаблонов, которые программа использует для поиска текста. При определенных условиях злоумышленник может отправить специально подготовленный запрос и заставить сервер выполнить чужой код. Для этого ему даже не нужно входить в GitLab.
Это особенно опасно для компаний, которые хранят в GitLab исходный код своих продуктов, настройки сборки и развертывания приложений, пароли и токены доступа. Взлом сервера может позволить похитить эти данные, изменить код проектов или получить доступ к другим системам компании.
Уязвимость обнаружил исследователь Йохан Карлссон, который сообщил о ней через программу вознаграждений HackerOne. 21 октября GitLab выпустила исправления для версий 19.5.1, 19.4.3, 19.3.6 и нескольких более ранних веток. Компания призывает как можно скорее установить обновления.
Проблема касается организаций, которые самостоятельно размещают GitLab на своих серверах. Облачные сервисы GitLab.com и GitLab Dedicated уже защищены. На момент публикации новости о случаях использования этой уязвимости в реальных атаках не было.
Релоцировались? Теперь вы можете комментировать без верификации аккаунта.