GitLab rregullon code execution flaw CVSS 10 në CE dhe EE
GitLab ka rregulluar një vulnerability me severity maksimale në GitLab Community Edition (CE) dhe Enterprise Edition (EE) që mund t’u kishte lejuar përdoruesve të paautentikuar të ekzekutonin arbitrary code në një server GitLab në kushte të caktuara.
Problemi gjurmohet si CVE-2026-97229 dhe ka një rezultat CVSS prej 10.0, vlerësimi më i lartë në Common Vulnerability Scoring System, i cili përdoret për të përshkruar severity të flaws të sigurisë. GitLab tha në një advisory të hënën se problemi përfshinte kontroll të pamjaftueshëm të një regular expression, një pattern që software përdor për të përputhur tekst, në një konfigurim CI/CD. CI/CD do të thotë continuous integration dhe continuous delivery, procesi i automatizuar që shumë ekipe zhvillimi përdorin për të testuar, ndërtuar dhe deploy software.
Sipas GitLab, një regular expression i përgatitur posaçërisht në atë konfigurim CI/CD mund, në rrethana të caktuara, të çonte në arbitrary code execution në serverin GitLab. Në terma praktikë, arbitrary code execution do të thotë se një sulmues mund të jetë në gjendje ta bëjë sistemin e prekur të ekzekutojë komanda ose software të zgjedhur nga sulmuesi. Advisory e përshkruan CVE-2026-97229 si një problem integer overflow, një lloj bug që mund të ndodhë kur software trajton gabim një numër që është shumë i madh për hapësirën e caktuar për të.
Versionet e prekura të GitLab CE dhe EE janë të gjitha versionet nga 19.2 para 19.2.8, të gjitha versionet nga 19.3 para 19.3.5, dhe të gjitha versionet nga 19.4 para 19.4.2. Releases të rregulluara janë të disponueshme si 19.4.2, 19.3.5 dhe 19.2.8. Organizatat që përdorin instance-in e tyre GitLab duhet të kontrollojnë se cili version është instaluar dhe të kalojnë pa vonesë te release i rregulluar përkatës, veçanërisht kur GitLab është i arritshëm nga përdorues jashtë një rrjeti të brendshëm të kontrolluar rreptësisht.
I njëjti update adreson gjithashtu tre vulnerabilities me severity të lartë. CVE-2026-92883, me një rezultat CVSS prej 8.7, është një cross-site scripting flaw. Cross-site scripting është një problem sigurie web ku një site mund të bëhet të ekzekutojë JavaScript të padëshiruar, gjuhën scripting të përdorur në browsers, në session-in e një përdoruesi tjetër. GitLab tha se ky problem mund t’i lejojë një përdoruesi të autentikuar të ekzekutojë JavaScript në browser sessions të përdoruesve të tjerë përmes një repository të krijuar posaçërisht.
CVE-2026-16301, me një rezultat CVSS prej 8.5, është një problem improper authorization në downstream pipeline creation service. Authorization është vendimi se çfarë lejohet të bëjë një përdorues që tashmë është signed-in. Në këtë rast, GitLab tha se një përdorues i autentikuar me rolin Developer mund të ekzekutonte CI/CD pipelines në protected branches. Protected branches përdoren zakonisht për të kufizuar ndryshimet në pjesë të rëndësishme të një codebase, prandaj një flaw që prek këto mbrojtje është i rëndësishëm për ekipet që mbështeten te GitLab për të kontrolluar software releases.
Bug i tretë me severity të lartë është CVE-2026-14814, me një rezultat CVSS prej 8.2. GitLab e përshkroi atë si një permissive regular expression vulnerability që mund t’i lejonte një përdoruesi të poison cached responses për raw repository files. Një cache është data e ruajtur që përdoret për të shpejtuar kërkesat e mëvonshme. GitLab tha se problemi mund të bënte që CI/CD pipelines të përdoruesve të targetuar të ekzekutonin content të krijuar posaçërisht dhe potencialisht të ekspozonte protected environment variables. Environment variables janë settings të përdorura nga software, dhe ato të mbrojtura mund të përmbajnë informacion sensitiv deployment ose service.
Advisory vjen pas rregullimeve të tjera të fundit të sigurisë së GitLab të përmendura nga The Hacker News. GitLab më parë rregulloi CVE-2026-90970, një critical AI Gateway vulnerability me një rezultat CVSS prej 9.9. Ai problem mund t’i kishte lejuar një përdoruesi të autentikuar me akses Duo Agent Platform të dilte nga prompt template sandbox përmes një flow configuration të krijuar posaçërisht dhe të arrinte arbitrary command execution në AI Gateway. The Hacker News raportoi gjithashtu se CVE-2026-85706, një tjetër flaw me severity maksimale në GitLab CE dhe EE me një rezultat CVSS prej 10.0, pa probes in the wild brenda disa orësh nga public disclosure muajin e kaluar.
Për pronarët e faqeve web dhe ekipet IT, shqetësimi i menjëhershëm nuk është vetëm vetë serveri GitLab, por edhe software delivery chain rreth tij. Një sistem GitLab i self-hosted mund të mbajë source code, deployment settings dhe CI/CD workflows të lidhura me websites, applications dhe infrastructure. Një vulnerability që prek konfigurimin CI/CD, protected branches, repository content ose environment variables mund të ketë rëndësi shumë përtej interface-it të code-hosting.
Administratorët duhet ta trajtojnë këtë si një priority maintenance window, të konfirmojnë versionin e instaluar të GitLab CE ose EE, dhe të bëjnë upgrade në 19.4.2, 19.3.5 ose 19.2.8 sipas rastit. Ekipet duhet gjithashtu të rishikojnë cilët përdorues kanë akses me rolin Developer, ku përdoren protected branches, dhe nëse CI/CD variables janë të kufizuara vetëm te jobs dhe branches që vërtet kanë nevojë për to. Këto rishikime nuk zëvendësojnë patching, por mund të ulin ekspozimin e shmangshëm rreth të njëjtave workflows.
Për organizatat që përdorin code platforms si pjesë e operacioneve të tyre web, AEU-I është relevant këtu sepse ofron IT, infrastructure dhe consulting me security-first.
Veprimi kryesor është i drejtpërdrejtë: instalimet e prekura GitLab CE dhe EE duhet të update-ohen në një release të rregulluar. Flaw më i rëndë nuk kërkon llogari të autentikuar në kushtet e përshkruara nga GitLab, dhe bugs e lidhura me severity të lartë prekin authenticated workflows që shumë ekipe zhvillimi përdorin çdo ditë.