A GitLab lançou correções para uma falha de gravidade máxima que afeta seus softwares Community Edition (CE) e Enterprise Edition (EE) e que pode resultar na execução arbitrária de código.
«A GitLab corrigiu um problema que, sob determinadas condições, poderia permitir que um usuário não autenticado executasse código arbitrário no servidor da GitLab por meio de uma expressão regular especialmente elaborada em uma configuração de CI/CD (integração contínua e entrega contínua), devido à validação insuficiente de expressões regulares», afirmou a empresa em um comunicado divulgado na segunda-feira.
A falha, catalogada como CVE-2026-97229 (sigla para Common Vulnerabilities and Exposures, sistema de identificação de vulnerabilidades), foi descrita como um problema de estouro de inteiro (integer overflow). Ela recebe nota 10,0 no CVSS (Common Vulnerability Scoring System, sistema de pontuação de gravidade de vulnerabilidades). Estão afetadas as seguintes versões:
- todas as versões da 19.2 anteriores à 19.2.8;
- todas as versões da 19.3 anteriores à 19.3.5; e
- todas as versões da 19.4 anteriores à 19.4.2.
As correções para a falha estão disponíveis nas versões 19.4.2, 19.3.5 e 19.2.8. Também foram tratadas três falhas de alta gravidade:
- CVE-2026-92883 (nota CVSS: 8,7) – uma vulnerabilidade de cross-site scripting (XSS) que poderia permitir a um usuário autenticado executar JavaScript arbitrário no contexto das sessões de navegador de outros usuários por meio de um repositório especialmente elaborado.
- CVE-2026-16301 (nota CVSS: 8,5) – uma vulnerabilidade de autorização inadequada no serviço de criação de pipelines posteriores que poderia permitir a um usuário autenticado com a função de Developer executar pipelines de CI/CD em ramificações (branches) protegidas.
- CVE-2026-14814 (nota CVSS: 8,2) – uma vulnerabilidade de expressão regular permissiva que poderia permitir a um usuário contaminar respostas armazenadas em cache de arquivos brutos de repositórios, fazendo com que os pipelines de CI/CD de usuários visados executem conteúdo especialmente elaborado e potencialmente expondo variáveis de ambiente protegidas.
A divulgação ocorre semanas depois de a empresa ter corrigido uma falha crítica no AI Gateway (CVE-2026-90970, nota CVSS: 9,9). Essa falha poderia permitir a um usuário autenticado com acesso ao Duo Agent Platform escapar do ambiente isolado de templates de prompts (sandbox) por meio de uma configuração de fluxo especialmente elaborada e alcançar a execução arbitrária de comandos no AI Gateway.
No mês passado, outra falha de segurança de gravidade máxima no GitLab CE e EE (CVE-2026-85706, nota CVSS: 10,0) registrou sondagens em ambientes reais poucas horas após a divulgação pública.
