Команда разработчиков GitLab представила срочное обновление безопасности, предназначенное для Community Edition и Enterprise Edition. Этот релиз направлен на устранение нескольких уязвимостей, среди которых наиболее критичная получила наивысшую оценку угрозы — 10 баллов по шкале CVSS.
Уязвимость, обозначенная идентификатором CVE-2026-85706, была выявлена в API коммитов репозитория. Недостаточная обязательность аутентификации и ошибки в механизмах контроля доступа к файловой системе позволяют неавторизованным пользователям извлекать произвольные файлы с сервера посредством одного POST-запроса. Это даёт злоумышленникам возможность получать доступ к конфиденциальной информации, учетным данным и закрытым сведениям.
Агентство по кибербезопасности и защите инфраструктуры США включило CVE-2026-85706 в список известных уязвимостей, подвергающихся эксплуатации, что подтверждает наличие реальных атак. Специалисты из компании watchTowr также зафиксировали первые попытки сканирования и использования данной уязвимости.
Пользователям GitLab и системным администраторам настоятельно рекомендуется как можно скорее обновить свои установки до версий 19.3.2, 19.2.6 или последних доступных патчей для ветки 19.1. В качестве временной меры специалисты по информационной безопасности рекомендуют проверять логи веб-серверов на предмет необычных POST-запросов к эндпоинту /api/v4/projects/{id}/repository/commits/ с параметром file.path.
