CVE-2026-2601

GitLab naprawił problem w GitLab EE, który dotyczył wszystkich wersji od 16.4 przed 18.9.7, 18.10 przed 18.10.6 oraz 18.11 przed 18.11.3. Problem ten mógł pozwolić uwierzytelnionemu użytkownikowi z uprawnieniami dewelopera na wykonanie dowolnego kodu JavaScript w przeglądarkach innych użytkowników z powodu niewłaściwej sanitizacji danych wejściowych.

GitLab naprawił problem w GitLab EE, który dotyczy wszystkich wersji od 18.7 przed 18.9.7, 18.10 przed 18.10.6 oraz 18.11 przed 18.11.3. W dostosowywalnych pulpitach analitycznych, uwierzytelniony użytkownik mógł wykonać dowolny kod JavaScript w kontekście przeglądarek innych użytkowników z powodu niewłaściwej sanitizacji danych wejściowych.

GitLab naprawił problem w GitLab EE, który dotyczył wszystkich wersji od 18.7 przed 18.9.7, 18.10 przed 18.10.6 oraz 18.11 przed 18.11.3. Problem ten mógł pozwolić uwierzytelnionemu użytkownikowi na wykonanie dowolnego JavaScriptu w przeglądarkach innych użytkowników z powodu niewłaściwego oczyszczania danych wejściowych.

GitLab EE naprawił problem w wersjach od 17.4 przed 19.3.6, 19.4 przed 19.4.3 oraz 19.5 przed 19.5.1, który w pewnych warunkach mógł pozwolić uwierzytelnionemu użytkownikowi na obejście wymaganej polityki zatwierdzania merge requestów na chronionej gałęzi z powodu nieprawidłowej kontroli dostępu podczas synchronizacji reguł zatwierdzania.

GitLab EE w wersjach od 17.8 przed 19.3.6, od 19.4 przed 19.4.3 oraz od 19.5 przed 19.5.1 zawiera błąd, który w pewnych warunkach mógł pozwolić uwierzytelnionemu użytkownikowi na dostęp do płatnych funkcji AI bez ważnej subskrypcji z powodu niewystarczającej walidacji po stronie serwera w kontrolach uprawnień do rozliczeń.

GitLab EE zawiera błąd w logice czyszczenia, która nie odróżnia istniejących rekordów podatności od nowo utworzonych podczas obsługi błędów. W pewnych warunkach uwierzytelniony użytkownik z uprawnieniami tylko do odczytu może trwale usunąć istniejące rekordy podatności. Podatność dotyczy wersji od 17.8 przed 19.3.6, 19.4 przed 19.4.3 oraz 19.5 przed 19.5.1.

GitLab EE naprawił problem w wersjach od 19.2 przed 19.3.6, 19.4 przed 19.4.3 oraz 19.5 przed 19.5.1, gdzie po zablokowaniu przez administratora instancji dostępności Duo dla grupy uwierzytelniony użytkownik z uprawnieniami Owner grupy mógł ponownie włączyć wysyłkę danych do usługi zewnętrznej opartej na AI dla tej grupy i jej projektów potomnych. Przyczyną była niewystarczająca szczegółowość mechanizmów egzekwowania blokady administratora.

GitLab EE w wersjach od 13.6 do 19.2.8, 19.3 do 19.3.5 i 19.4 do 19.4.2 ma podatność, która w określonych warunkach mogła pozwolić uwierzytelnionemu użytkownikowi z ograniczonymi uprawnieniami na modyfikację ustawień rollbacku CI/CD bez autoryzacji, z powodu niewystarczających kontroli dostępu.

W GitLab EE wykryto podatność, która w określonych warunkach mogła pozwolić uwierzytelnionemu użytkownikowi na wstrzyknięcie specjalnie spreparowanej treści do instrukcji agenta AI, co mogło prowadzić do niezamierzonego wykonania poleceń przypisanych innym użytkownikom. Problem dotyczy wersji od 19.1 do 19.2.8, 19.3 do 19.3.5 oraz 19.4 do 19.4.2.

W GitLab EE w wersjach od 16.11 do 19.2.8, 19.3 do 19.3.5 i 19.4 do 19.4.2 naprawiono problem, który w określonych warunkach mógł pozwolić uwierzytelnionemu użytkownikowi na zatwierdzenie merge requesta, mimo że wniósł do niego commity, z powodu nieprawidłowej identyfikacji tożsamości.