Критическое обновление GitLab: 19.4.2, 19.3.4, 19.2.8

12 октября 2026 года мы выпустили версии 19.4.2, 19.3.5 и 19.2.8 для GitLab Community Edition (CE) и Enterprise Edition (EE).

В версии 19.3.4 была ошибка, затрагивающая страницы запросов на слияние (merge requests) при включенной интеграции с Ona. Это исправлено в версии 19.3.5.

Эти версии содержат важные исправления ошибок и уязвимостей, поэтому мы настоятельно рекомендуем всем пользователям самоуправляемых инсталляций GitLab немедленно обновиться до одной из этих версий. GitLab.com уже работает на исправленной версии. Клиентам GitLab Dedicated предпринимать какие-либо действия не требуется.

GitLab выпускает исправления уязвимостей в рамках патч-релизов. Существует два типа патч-релизов: плановые релизы и внеплановые критические исправления для уязвимостей высокого уровня опасности. Плановые релизы выходят дважды в месяц, во вторую и четвертую среду. Для получения дополнительной информации посетите наше руководство по релизам и часто задаваемые вопросы по безопасности. Все записи в блоге о релизах GitLab можно найти здесь.

Информация об уязвимостях, исправленных в рамках обновлений безопасности, становится публичной в нашем трекере задач через 90 дней после выпуска релиза, в котором они были устранены.

Мы стремимся к тому, чтобы все аспекты GitLab, доступные клиентам или содержащие их данные, соответствовали самым высоким стандартам безопасности. Для поддержания надлежащего уровня безопасности всем клиентам настоятельно рекомендуется обновиться до последней версии исправлений для своей поддерживаемой версии. Подробнее о лучших практиках обеспечения безопасности вашего экземпляра GitLab можно прочитать в нашем блоге.

Исправления безопасности

Таблица исправлений безопасности

CVE-2026-97229 - Проблема переполнения целого числа в компиляторе регулярных выражений CI/CD затрагивает GitLab CE/EE

GitLab устранил проблему, которая при определенных условиях могла позволить неаутентифицированному пользователю выполнить произвольный код на сервере GitLab через специально созданное регулярное выражение в конфигурации CI/CD из-за недостаточной проверки регулярных выражений.

Затронутые версии: GitLab CE/EE: все версии с 19.2 до 19.2.8, с 19.3 до 19.3.5 и с 19.4 до 19.4.2CVSS 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)

Спасибо joaxcar за сообщение об этой уязвимости через нашу программу bug bounty на HackerOne.

CVE-2026-92883 - Проблема межсайтового скриптинга (XSS) в подсветке синтаксиса затрагивает GitLab CE/EE

GitLab устранил проблему, которая при определенных условиях могла позволить аутентифицированному пользователю выполнить произвольный JavaScript в контексте сеансов браузера других пользователей через специально созданный репозиторий из-за неправильной очистки HTML-атрибутов в выводе с подсветкой синтаксиса.

Затронутые версии: GitLab CE/EE: все версии с 19.1 до 19.2.8, с 19.3 до 19.3.5 и с 19.4 до 19.4.2CVSS 8.7 ()

Спасибо a0xnirudh за сообщение об этой уязвимости через нашу программу bug bounty на HackerOne.

CVE-2026-16301 - Проблема ненадлежащей авторизации в службе создания нисходящих конвейеров (downstream pipelines) затрагивает GitLab CE/EE

GitLab устранил проблему, которая при определенных условиях могла позволить аутентифицированному пользователю с ролью Developer выполнять CI/CD конвейеры на защищенных ветках без авторизации из-за некорректных проверок авторизации в службе создания нисходящих конвейеров.

Затронутые версии: GitLab CE/EE: все версии с 18.7 до 19.2.8, с 19.3 до 19.3.5 и с 19.4 до 19.4.2CVSS 8.5 ()

Спасибо sim4n6 за сообщение об этой уязвимости через нашу программу bug bounty на HackerOne.

CVE-2026-14814 - Проблема разрешительных регулярных выражений при доступе к файлам репозитория затрагивает GitLab CE/EE

GitLab устранил проблему, которая при определенных условиях могла позволить пользователю отравить кэшированные ответы для необработанных файлов репозитория, заставляя CI/CD конвейеры целевых пользователей выполнять специально созданный контент и потенциально раскрывая защищенные переменные среды из-за неправильной проверки ссылок репозитория.

Затронутые версии: GitLab CE/EE: все версии до 19.2.8, с 19.3 до 19.3.5 и с 19.4 до 19.4.2CVSS 8.2 ()

Спасибо ahacker1 за сообщение об этой уязвимости через нашу программу bug bounty на HackerOne.

CVE-2026-81839 - Проблема некорректной авторизации в политике выполнения запланированных конвейеров затрагивает GitLab EE

GitLab устранил проблему, которая при определенных условиях могла позволить аутентифицированному пользователю выполнять произвольные CI/CD конвейеры в перенесенном проекте с привилегиями новой группы из-за неправильной очистки записей политики выполнения запланированных конвейеров.

Затронутые версии: GitLab EE: все версии с 18.1 до 19.2.8, с 19.3 до 19.3.5 и с 19.4 до 19.4.2CVSS 7.7 ()

Спасибо no_01 за сообщение об этой уязвимости через нашу программу bug bounty на HackerOne.

CVE-2026-96893 - Проблема ненадлежащей нейтрализации входных данных, используемых для промптов LLM, в платформе GitLab Duo Agent затрагивает GitLab EE

GitLab устранил проблему, которая при определенных условиях могла позволить аутентифицированному пользователю внедрять специально созданный контент в инструкции AI-агента, потенциально вызывая непреднамеренное выполнение команд от имени других пользователей из-за ненадлежащей нейтрализации специальных элементов при построении контекста AI-диалога.

Затронутые версии: GitLab EE: все версии с 19.1 до 19.2.8, с 19.3 до 19.3.5 и с 19.4 до 19.4.2CVSS 7.3 ()

Эта уязвимость была обнаружена внутри компании сотрудником GitLab Мертом Джошкунером (Mert Coskuner).

CVE-2026-101168 - Проблема раскрытия конфиденциальной информации в GitLab Pages затрагивает GitLab CE/EE

GitLab устранил проблему, которая при определенных условиях могла позволить аутентифицированному пользователю с доступом к логам GitLab Pages получить токены доступа и другие секреты из-за вставки конфиденциальных данных запроса в файлы логов и события отслеживания ошибок.

Затронутые версии: GitLab CE/EE: все версии с 12.0 до 19.2.8, с 19.3 до 19.3.5 и с 19.4 до 19.4.2CVSS 6.2 ()

Эта уязвимость была обнаружена внутри компании сотрудником GitLab Р.Дж. Коулманом (RJ Coleman).

CVE-2026-7767 - Проблема открытого перенаправления (Open Redirect) в прокси-сервере Kubernetes затрагивает GitLab CE/EE

GitLab устранил проблему, которая при определенных условиях могла позволить аутентифицированному пользователю, контролирующему агент Kubernetes, отправить конфиденциальные токены аутентификации на непредназначенный сервер из-за неправильной проверки перенаправления в прокси-сервере Kubernetes.

Затронутые версии: GitLab CE/EE: все версии с 13.11 до 19.2.8, с 19.3 до 19.3.5 и с 19.4 до 19.4.2CVSS 5.8 ()

Спасибо за сообщение об этой уязвимости через нашу программу bug bounty на HackerOne.

CVE-2026-16275 - Проблема некорректной авторизации в виджете заметок GraphQL затрагивает GitLab CE/EE

GitLab устранил проблему, которая при определенных условиях могла позволить неаутентифицированному пользователю читать конфиденциальные заметки в публичных проектах из-за некорректных проверок авторизации.

Затронутые версии: GitLab CE/EE: все версии с 17.4 до 19.2.8, 19.3 до 19.3.5 и 19.4 до 19.4.2 CVSS 5.3 ()

Спасибо jaykp за сообщение об этой уязвимости через нашу программу bug bounty на HackerOne.

CVE-2026-84284 — Проблема некорректной авторизации в иерархии рабочих элементов GraphQL затрагивает GitLab CE/EE

GitLab устранила проблему, которая при определенных условиях могла позволить неавторизованному пользователю читать содержимое рабочих элементов из закрытых групп и проектов из-за некорректных проверок авторизации.

Затронутые версии: GitLab CE/EE: все версии с 17.11 до 19.2.8, все версии 19.3 и 19.4 до 19.4.2 CVSS 5.3 ()

Спасибо modhanami за сообщение об этой уязвимости через нашу программу bug bounty на HackerOne.

CVE-2026-85529 — Проблема некорректной авторизации в области видимости GraphQL затрагивает GitLab CE/EE

GitLab устранила проблему, которая при определенных условиях могла позволить неавторизованному пользователю читать внутренние заметки и конфиденциальные системные заметки в публичных проектах из-за ненадлежащей авторизации в API GraphQL.

Затронутые версии: GitLab CE/EE: все версии с 19.2 до 19.2.8, 19.3 до 19.3.5 и 19.4 до 19.4.2 CVSS 5.3 ()

Спасибо silaen_space за сообщение об этой уязвимости через нашу программу bug bounty на HackerOne.

CVE-2026-100755 — Отравление кэша страниц из-за неправильного формирования ключа кэша в запросах на слияние затрагивает GitLab CE/EE

GitLab устранила проблему, которая при определенных конфигурациях развертывания могла позволить авторизованному пользователю отравить кэшированное содержимое страниц, предоставляемое другим пользователям, из-за неправильного формирования ключа кэша.

Затронутые версии: GitLab CE/EE: все версии с 16.2 до 19.2.8, 19.3 до 19.3.5 и 19.4 до 19.4.2 CVSS 4.6 ()

Эта уязвимость была обнаружена внутри компании сотрудником GitLab Питером Артсом (Peter Arts).

CVE-2026-14552 — Проблема некорректной авторизации в API рабочих элементов GraphQL затрагивает GitLab CE/EE

GitLab устранила проблему, которая при определенных условиях могла позволить авторизованному пользователю с доступом уровня «Гость» читать содержимое конфиденциальных эпиков, которые должны были быть ограничены внешней авторизацией, из-за некорректных проверок авторизации.

Затронутые версии: GitLab CE/EE: все версии с 17.0 до 19.2.8, 19.3 до 19.3.5 и 19.4 до 19.4.2 CVSS 4.3 ()

Спасибо 3nvz за сообщение об этой уязвимости через нашу программу bug bounty на HackerOne.

CVE-2026-6567 — Проблема отсутствия авторизации в конечной точке сравнения отчетов о доступности запросов на слияние затрагивает GitLab CE/EE

GitLab устранила проблему, которая при определенных условиях могла позволить авторизованному пользователю с ролью «Репортер» получить доступ к ограниченному содержимому отчетов артефактов CI, к которому он не был авторизован, из-за отсутствия проверок авторизации.

Затронутые версии: GitLab CE/EE: все версии с 13.8 до 19.2.8, 19.3 до 19.3.5 и 19.4 до 19.4.2 CVSS 4.3 ()

Спасибо se1en за сообщение об этой уязвимости через нашу программу bug bounty на HackerOne.

CVE-2026-104661 — Проблема некорректного назначения привилегий в пользовательских ролях затрагивает GitLab EE

GitLab устранила проблему, которая при определенных условиях могла позволить авторизованному пользователю с пользовательской ролью, имеющей разрешения на администрирование фреймворка соответствия требованиям, настраивать и выполнять специально созданный конвейер соответствия требованиям в проектах группы из-за ненадлежащего назначения привилегий.

Затронутые версии: GitLab EE: все версии с 17.0 до 19.2.8, 19.3 до 19.3.5 и 19.4 до 19.4.2 CVSS 4.3 ()

Эта уязвимость была обнаружена внутри компании сотрудником GitLab.

CVE-2026-14210 — Проблема недостаточной гранулярности контроля доступа при управлении метками проекта затрагивает GitLab CE/EE

GitLab устранила проблему, которая при определенных условиях могла позволить авторизованному пользователю с мелкозернистым персональным токеном доступа, ограниченным проектом, навсегда удалить или изменить метки на уровне группы из-за некорректной логики авторизации при проверке области владения меткой.

Затронутые версии: GitLab CE/EE: все версии с 18.11 до 19.2.8, 19.3 до 19.3.5 и 19.4 до 19.4.2 CVSS 4.3 ()

Спасибо bate5a за сообщение об этой уязвимости через нашу программу bug bounty на HackerOne.

CVE-2026-105458 — Проблема обхода контроля управления в платформе Duo Agent затрагивает GitLab EE

GitLab устранила проблему, которая при определенных условиях могла позволить авторизованному пользователю с определенным гранулярным разрешением получить токен платформы GitLab Duo Agent, обходящий контроли управления, из-за опоры на недоверенные входные данные при принятии решения о безопасности.

Затронутые версии: GitLab EE: все версии с 19.1 до 19.2.8, 19.3 до 19.3.5 и 19.4 до 19.4.2 CVSS 4.3 ()

Эта уязвимость была обнаружена внутри компании сотрудником GitLab Рахулом Барнвалом (Rahul Barnwal).

CVE-2026-5954 — Проблема некорректной авторизации в реестре пакетов затрагивает GitLab CE/EE

GitLab устранила проблему, которая при определенных условиях могла позволить пользователю загружать файлы пакетов из публичного проекта из-за ненадлежащих проверок авторизации.

Затронутые версии: GitLab CE/EE: все версии с 15.1 до 19.2.8, 19.3 до 19.3.5 и 19.4 до 19.4.2 CVSS 4.2 ()

Спасибо rogerace за сообщение об этой уязвимости через нашу программу bug bounty на HackerOne.

CVE-2026-92528 — Проблема некорректной авторизации при проверке права на одобрение запроса на слияние затрагивает GitLab EE

GitLab устранила проблему, которая при определенных условиях могла позволить авторизованному пользователю одобрить запрос на слияние, несмотря на то, что он внес в него коммиты, из-за ненадлежащего разрешения идентификации.

Затронутые версии: GitLab EE: все версии с 16.11 до 19.2.8, 19.3 до 19.3.5 и 19.4 до 19.4.2 CVSS 4.2 ()

Эта уязвимость была обнаружена внутри компании сотрудником GitLab Кеннетом Чу (Kenneth Chu).

CVE-2026-78335 — Проблема некорректной авторизации в мелкозернистых персональных токенах доступа затрагивает GitLab CE/EE

GitLab устранила проблему, которая при определенных условиях могла позволить авторизованному пользователю с мелкозернистым персональным токеном доступа, ограниченным проектом, изменять интеграции, принадлежащие группе вне области действия токена, из-за некорректных проверок авторизации.

Затронутые версии: GitLab CE/EE: все версии с 19.1 до 19.2.8, 19.3 до 19.3.5 и 19.4 до 19.4.2 CVSS 4.2 ()

Спасибо mahoraga007 за сообщение об этой уязвимости через нашу программу bug bounty на HackerOne.

CVE-2026-100104 — Проблема подделки запросов на стороне сервера (SSRF) при импорте репозитория затрагивает GitLab CE/EE

GitLab устранила проблему, которая при определенных условиях могла позволить авторизованному пользователю выполнить подделку запроса на стороне сервера и получить доступ к ресурсам внутренней сети из-за состояния гонки между проверкой и использованием (TOCTOU) при проверке URL во время операций импорта репозитория.

Затронутые версии: GitLab CE/EE: все версии с 10.3 до 19.2.8, 19.3 до 19.3.5 и 19.4 до 19.4.2 CVSS 3.5 ()

Эта уязвимость была обнаружена внутри компании сотрудником GitLab Феликсом Вейетт-Потвеном (Félix Veillette-Potvin).

CVE-2026-82632 — Проблема некорректной авторизации при импорте проекта затрагивает GitLab CE/EE

GitLab устранила проблему, которая при определенных условиях могла позволить аутентифицированному пользователю с детализированным Personal Access Token, ограниченным только правами импорта на уровне пользователя, импортировать проекты в пространства имен групп за пределами предполагаемой области действия токена из-за некорректной авторизации целевого пространства имен импорта.

Затронутые версии: GitLab CE/EE: все версии с 18.9 до 19.2.8, с 19.3 до 19.3.5 и с 19.4 до 19.4.2 CVSS 3.1 ()

Благодарим aur0r4_glyph за сообщение об этой уязвимости через нашу программу bug bounty на HackerOne.

CVE-2026-103549 - Проблема некорректной авторизации в реестре пакетов затрагивает GitLab CE/EE

GitLab устранила проблему, которая при определенных условиях могла позволить аутентифицированному пользователю с правами роли maintainer удалять определенные метаданные реестра пакетов, которые правила защиты пакетов ограничивают для более высоких ролей, из-за ненадлежащих проверок авторизации.

Затронутые версии: GitLab CE/EE: все версии с 17.6 до 19.2.8, с 19.3 до 19.3.5 и с 19.4 до 19.4.2 CVSS 2.7 ()

Эта уязвимость была обнаружена внутренними силами сотрудника команды GitLab.

CVE-2026-9268 - Проблема ненадлежащего контроля доступа в настройках CI/CD проекта затрагивает GitLab EE

GitLab устранила проблему, которая при определенных условиях могла позволить аутентифицированному пользователю с ограниченными правами изменять настройки отката развертывания CI/CD проекта без надлежащей авторизации из-за недостаточных проверок контроля доступа.

Затронутые версии: GitLab EE: все версии с 13.6 до 19.2.8, с 19.3 до 19.3.5 и с 19.4 до 19.4.2 CVSS 2.7 ()

Благодарим akashhamal0x01 за сообщение об этой уязвимости через нашу программу bug bounty на HackerOne.

Исправления ошибок

19.4.2

19.3.5

19.2.8

Важные примечания по обновлению

Этот патч включает миграции базы данных, которые могут повлиять на процесс вашего обновления.

Влияние на вашу установку:

Одноузловые инстансы: этот патч вызовет простой во время обновления, так как миграции должны завершиться до того, как GitLab сможет запуститься.
Многоузловые инстансы: при соблюдении надлежащих процедур обновления без простоя этот патч может быть применен без остановки работы.

Пост-деплой миграции

Следующие версии включают пост-деплой миграции, которые могут выполняться после обновления:

19.3.5

Чтобы узнать больше о влиянии обновлений на вашу установку, см.:

Обновления без простоя для многоузловых развертываний
Стандартные обновления для одноузловых установок

Обновление

Чтобы обновить GitLab, см. страницу обновления. Чтобы обновить GitLab Runner, см. страницу обновления Runner.

Получение уведомлений о патчах

Чтобы получать уведомления о патчах в блоге на свою электронную почту, посетите нашу страницу свяжитесь с нами. Чтобы получать уведомления о релизах через RSS, подпишитесь на нашу RSS-ленту патч-релизов или нашу RSS-ленту всех релизов.

Рекомендуемые действия