USA:s cybersäkerhets- och infrastruktursäkerhetsmyndighet (CISA) har lagt till en sårbarhet i GitLab i katalogen Known Exploited Vulnerabilities (KEV) och varnar för att den utnyttjas aktivt.
GitLab uppdaterade versionerna av Community Edition (CE) och Enterprise Edition (EE) till 19.3.2, 19.2.6 och 19.1. Uppdateringarna åtgärdar flera sårbarheter, däribland två med kritisk allvarlighetsgrad.
Den ena är en sökvägsvandringssårbarhet i API:t för repository commits. Den spåras som CVE-2026-85706 och har allvarlighetsgraden 10/10. Problemet beror på bristande krav på autentisering och felaktig begränsning av sökvägar, vilket kan göra det möjligt för oautentiserade angripare att läsa känslig information som inloggningsuppgifter eller hemligheter.
GitLabs säkerhetsmeddelande sade inte att sårbarheterna utnyttjades. Men cybersäkerhetsföretaget watchTowr rapporterade en dag senare att det hade observerat sonderingar i verkliga miljöer för CVE-2026-85706. Företaget sade att sårbarheten kan göra det möjligt att läsa godtyckliga filer i en enda HTTP-begäran. Det andra kritiska problemet gäller Insecure Deserialization i GraphQL-prenumerationsserialiseraren.
CISA:s KEV-listning ger myndighetsanvändare ett tredagarsfönster för att installera korrigeringen. GitLab beskriver sig som en intelligent orkestreringsplattform för DevSecOps-proffs. Enligt en SEC-inlämning har företaget fler än 50 miljoner registrerade användare, varav omkring 50 % arbetar på Fortune 100-företag.
Kommentarer
0Inga kommentarer ännu. Skriv den första.