این شرکت در یک اطلاعیه امنیتی که روز دوشنبه منتشر شد، اعلام کرد: «گیت‌لب مشکلی را برطرف کرده است که در شرایط خاص، به یک کاربر احراز هویت‌نشده اجازه می‌داد با استفاده از یک عبارت باقاعده (Regular Expression) دست‌کاری‌شده در پیکربندی CI/CD، کد دلخواه خود را روی سرور گیت‌لب اجرا کند. علت این مشکل، اعتبارسنجی ناکافی عبارات باقاعده بود.»
این آسیب‌پذیری با شناسه CVE-۲۰۲۶-۹۷۲۲۹ ثبت شده و به‌عنوان یک نقص از نوع سرریز عدد صحیح (Integer Overflow) توصیف شده است. امتیاز آن در سیستم امتیازدهی آسیب‌پذیری‌های رایج (CVSS) برابر با ۱۰ از ۱۰ است.
نسخه‌های زیر تحت تاثیر این آسیب‌پذیری قرار دارند:
-
تمامی نسخه‌های شاخه ۱۹.۲ پیش از ۱۹.۲.۸
-
تمامی نسخه‌های شاخه ۱۹.۳ پیش از ۱۹.۳.۵
-
تمامی نسخه‌های شاخه ۱۹.۴ پیش از ۱۹.۴.۲
وصله‌های امنیتی این آسیب‌پذیری در نسخه‌های ۱۹.۴.۲، ۱۹.۳.۵ و ۱۹.۲.۸ منتشر شده‌اند.
گیت‌لب همچنین سه آسیب‌پذیری امنیتی دیگر با شدت بالا را برطرف کرده است:
– CVE-۲۰۲۶-۹۲۸۸۳ (امتیاز CVSS: ۸.۷): یک آسیب‌پذیری اسکریپت‌نویسی (Cross-Site Scripting یا XSS) که به کاربر احراز هویت‌شده اجازه می‌دهد از طریق یک مخزن کد (Repository) دست‌کاری‌شده، کد جاوااسکریپت دلخواه خود را در نشست مرورگر سایر کاربران اجرا کند.
– CVE-۲۰۲۶-۱۶۳۰۱ (امتیاز CVSS: ۸.۵): یک آسیب‌پذیری ناشی از کنترل نادرست مجوزها (Improper Authorization) در سرویس ایجاد پایپ‌لاین‌های پایین‌دستی (Downstream Pipeline Creation Service) که به کاربر احراز هویت‌شده با نقش Developer اجازه می‌دهد پایپ‌لاین‌های CI/CD را روی شاخه‌های محافظت شده (Protected Branches) اجرا کند.
– CVE-۲۰۲۶-۱۴۸۱۴ (امتیاز CVSS: ۸.۲): یک آسیب‌پذیری ناشی از بیش‌ازحد آزاد بودن الگوی عبارت باقاعده (Permissive Regular Expression) که به مهاجم اجازه می‌دهد پاسخ‌های ذخیره‌شده در کش مربوط به فایل‌های خام مخزن کد (Raw Repository Files) را آلوده کند. این اقدام می‌تواند باعث شود پایپ‌لاین‌های CI/CD کاربران هدف، محتوای دست‌کاری‌شده را اجرا کنند و به‌طور بالقوه متغیرهای محیطی محافظت‌شده (Protected Environment Variables) افشا شوند.
افشای این آسیب‌پذیری‌ها تنها چند هفته پس از آن صورت می‌گیرد که گیت‌لب یک نقص امنیتی بحرانی در AI Gateway را برطرف کرده بود. آن آسیب‌پذیری با شناسه CVE-2026-90970 و امتیاز CVSS برابر با ۹.۹ ثبت شده بود و می‌توانست به یک کاربر احراز هویت‌شده که به Duo Agent Platform دسترسی داشت، اجازه دهد با استفاده از یک پیکربندی جریان کاری (Flow Configuration) دست‌کاری‌شده، از محدودیت‌های محیط ایزوله قالب پرامپت (Prompt Template Sandbox) عبور کرده و دستورات دلخواه خود را روی AI Gateway اجرا کند.
ماه گذشته نیز یک آسیب‌پذیری امنیتی دیگر با بالاترین سطح شدت در نسخه‌های CE و EE گیت‌لب، با شناسه CVE-2026-85706 و امتیاز CVSS برابر با ۱۰، مورد توجه مهاجمان قرار گرفت. تنها چند ساعت پس از افشای عمومی این آسیب‌پذیری، تلاش‌هایی برای شناسایی و بررسی امکان بهره‌برداری از آن در محیط‌های واقعی مشاهده شد.
منبع: https://thehackernews.com/2026/10/gitlab-patches-cvss-100-flaw-that-could.html
