GitLab закрыл path traversal максимальной критичности в commits API

10 сентября GitLab выпустил экстренные версии 19.3.2, 19.2.6 и 19.1.8 для Community и Enterprise Edition. Патчи закрывают CVE-2026-85706, path traversal в repository commits API с оценкой CVSS 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N). Причина — improper path confinement и отсутствие проверки аутентификации. Неаутентифицированный пользователь мог читать произвольные файлы с сервера GitLab, включая логи и конфигурации с секретами. Уязвимость нашёл исследователь s3ntago через программу HackerOne.

Уязвимы все версии CE/EE с 18.7 до 19.1.8, с 19.2 до 19.2.6 и с 19.3 до 19.3.2. GitLab.com уже работает на пропатченной версии, клиентам GitLab Dedicated обновляться не нужно. По оценкам, в мире остаётся более 20 000 self-managed инсталляций. Для эксплуатации достаточно одного публичного проекта на сервере.

watchTowr зафиксировал пробы эксплуатации в своей honeypot-сети с 06:00 UTC 11 сентября. CISA в тот же день внесла CVE в каталог Known Exploited Vulnerabilities с дедлайном исправления 14 сентября по BOD 26-04. Искать следы атак предлагают по HTTP POST-запросам к /api/v4/projects/{id}/repository/commits/ с параметром file.path.

Вместе с этой дырой закрыто ещё 17 уязвимостей. Одна из них — небезопасная десериализация в GitLab EE (CVE-2026-87719, CVSS 9.9): аутентифицированный пользователь с доступом к Duo Chat мог получить конфигурацию Advanced Search и учётные данные.