NCSC-2026-0270 [1.00] [M/M] Kwetsbaarheden verholpen in GitLab door GitLab Inc.

GitLab Inc. heeft meerdere kwetsbaarheden verholpen in GitLab, specifiek in versies voorafgaand aan 19.0.5, 19.1.3 en 19.2.1, inclusief GitLab Enterprise Edition (EE) versies binnen deze reeksen. De kwetsbaarheden betreffen verschillende onderdelen van GitLab: - Onjuiste toegangcontrole waardoor geauthenticeerde gebruikers met gastrechten testrapporten konden inzien die beperkt hadden moeten zijn. - Onvoldoende validatie van gebruikersinvoer waardoor geauthenticeerde gebruikers de CI/CD pipeline schema's van andere gebruikers konden wijzigen. - Onjuiste verwerking van upstream verzoeken in virtuele registries leidend tot mogelijke ongeautoriseerde informatielekken. - Een raceconditie die het mogelijk maakte om de verplichte goedkeuringsworkflow te omzeilen en direct code te mergen in beschermde branches. - Onvoldoende toegangscontrole bij interne verzoekverwerking waardoor ontwikkelaars toegang kregen tot informatie buiten hun autorisatie. - Onvoldoende resource throttling bij het verwerken van merge request discussies, wat door niet-geauthenticeerde gebruikers misbruikt kon worden voor een denial-of-service. - Onjuiste autorisatiecontroles op merge request samenwerking waardoor ontwikkelaars konden blijven committen na intrekking van hun toegang. - Onjuiste autorisatie waardoor niet-geauthenticeerde gebruikers de titels van vertrouwelijke issues konden bekijken via publieke merge requests. - Onjuiste verwerking van onbetrouwbare inhoud in de AI-assisted code review functie, wat toegang tot projectinformatie mogelijk maakte. - Onvoldoende inputsanitatie waardoor cross-site scripting (XSS) aanvallen mogelijk waren via speciaal opgemaakte URLs. - Onjuiste autorisatie tijdens token generatie waardoor geauthenticeerde gebruikers admin-governance policies konden omzeilen. - Onjuiste API-toegangscontrole waardoor gebruikers met Maintainer rol beschermde branch instellingen konden wijzigen. - Ontbrekende autorisatiecontrole waardoor niet-geautoriseerde gebruikers toegang kregen tot project import broninformatie. Deze kwetsbaarheden kunnen leiden tot ongeautoriseerde informatieontsluiting, manipulatie van workflows, omzeilen van beveiligingsmechanismen, denial-of-service en privilege escalatie binnen de GitLab omgeving.