Компания GitLab выпустила обновления для версий Community Edition и Enterprise Edition, закрывающие ряд уязвимостей. Исправления доступны в выпусках 19.3.2, 19.2.6, а также для ветки 19.1. Патчи устраняют критические ошибки, включая уязвимость обхода пути в API коммитов репозитория и проблему небезопасной десериализации в сериализаторе подписок GraphQL.
Уязвимости CVE-2026-85706 присвоен максимальный рейтинг угрозы 10 из 10. Проблема вызвана отсутствием обязательной аутентификации и некорректным ограничением доступа к файловой системе, что позволяет злоумышленникам считывать конфиденциальные данные, включая учётные записи. Специалисты watchTowr подтвердили, что для кражи произвольных файлов достаточно одного HTTP-запроса.
Агентство CISA внесло данную уязвимость в каталог KEV, обязав государственные организации США установить обновления в течение трех дней. Платформа GitLab, которой пользуются более 50 миллионов человек и около половины компаний из списка Fortune 100, рекомендует администраторам проверить журналы на наличие подозрительных POST-запросов к API репозитория.
Для выявления попыток взлома эксперты советуют искать в логах HTTP-запросы типа POST к URI вида /api/v4/projects/{id}/repository/commits/ с использованием параметра file.path. Учитывая подтвержденные факты эксплуатации уязвимости хакерами, пользователям рекомендуется незамедлительно обновить серверное программное обеспечение для защиты инфраструктуры.
