Критический патч GitLab: версии 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13

Рекомендуемые действия

Настоятельно рекомендуется незамедлительно обновить все установки, затронутые описанными ниже проблемами, до последней версии.

Если конкретный тип развертывания (omnibus, исходный код, helm chart и т.д.) не указан, это означает, что затронуты все типы.

Исправления безопасности

Таблица исправлений безопасности

CVE-2026-110264 — Переполнение целого числа в компиляторе регулярных выражений

GitLab устранила проблему, которая при определённых условиях могла позволить неаутентифицированному пользователю выполнить произвольный код на сервере GitLab из-за переполнения целого числа при компиляции специально созданного регулярного выражения.

Помимо стандартных патчей, исправление было применено к версиям GitLab CE/EE 18.11.13, 19.0.10, 19.1.9 и 19.2.9.

Затронутые версии: GitLab CE/EE: все версии от 7.0 до 18.11.13, 19.0 до 19.0.10, 19.1 до 19.1.9, 19.2 до 19.2.9, 19.3 до 19.3.6, 19.4 до 19.4.3 и 19.5 до 19.5.1
CVSS 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)

Спасибо joaxcar за сообщение об этой уязвимости через программу награждения за баги HackerOne

Обнаружение попыток использования CVE-2026-110264

Команда безопасности GitLab выпустила два обнаружения угроз для оказания помощи клиентам с самостоятельными инстансами. GitLab-управляемая инфраструктура, включая GitLab.com и GitLab Dedicated, остаётся защищённой.

• Падение onigmo native worker
• Всплеск ошибок отрисовки режима org

CVE-2026-15723 — Ненадлежащая аутентификация в OmniAuth-to-LDAP автосвязывании

GitLab устранила проблему, которая при включении как OmniAuth SAML, так и автосвязывания LDAP позволила бы аутентифицированному пользователю перехватить существующую учётную запись на основе LDAP без какого-либо взаимодействия с целевым пользователем из-за ненадлежащей санитизации входных данных в пути поиска электронной почты LDAP, используемом при связывании идентичности OmniAuth.

Затронутые версии: GitLab CE/EE: все версии от 10.1 до 19.3.6, 19.4 до 19.4.3 и 19.5 до 19.5.1
CVSS 8.2 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N)

Спасибо stealthy за сообщение об этой уязвимости через программу HackerOne

CVE-2026-112212 — Отравление кэша в точках обнаружения OAuth/OIDC

GitLab устранила проблему, которая при определённых условиях позволила бы неаутентифицированному пользователю отравить кэш и перенаправить определённые потоки на внешне контролируемый сервер из-за ненадлежащего доверия значениям, предоставленным пользователем, при формировании URL-адресов конечных точек в кэшированных ответах обнаружения.

Затронутые версии: GitLab CE/EE: все версии от 18.3 до 19.3.6, 19.4 до 19.4.3 и 19.5 до 19.5.1
CVSS 7.5 (CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:L)

Уязвимость была обнаружена внутренним компонентом команды GitLab

CVE-2026-12664 — Ненадлежащее управление доступом в GraphQL поле email адреса рабочего элемента

GitLab устранила проблему, которая при определённых условиях позволила бы аутентифицированному пользователю с токеном с ограничением read_api получить входящий адрес электронной почты проекта и создавать рабочие элементы, обходя ограничения токена, из-за недостаточного применения области видимости в поле GraphQL.

Затронутые версии: GitLab CE/EE: все версии от 18.2 до 19.3.6, 19.4 до 19.4.3 и 19.5 до 19.5.1
CVSS 6.8 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N)

Спасибо go7f0 за сообщение об этой уязвимости через программу HackerOne

CVE-2026-16255 — Неполное применение блокировки членства SAML/LDAP на уровне инстанса

GitLab устранила проблему, которая при включении блокировки членства SAML или LDAP на уровне инстанса позволила бы аутентифицированному пользователю предоставлять или принимать членство в проекте и группе за пределами контроля поставщика идентификации из-за неполного применения блокировки членства на запросах, созданных до включения блокировки.

Затронутые версии: GitLab EE: все версии от 12.0 до 19.3.6, 19.4 до 19.4.3 и 19.5 до 19.5.1
CVSS 5.9 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:N)

Спасибо 3nvz за сообщение об этой уязвимости через программу HackerOne

CVE-2026-105777 — Раскрытие внутренних учётных данных в заголовках внутренних ответов

GitLab устранила проблему, которая при определённых условиях позволила бы неаутентифицированному пользователю получить конфиденциальные внутренние учётные данные сервера из-за ненадлежащей фильтрации заголовков внутренних ответов.

Затронутые версии: GitLab CE/EE: все версии от 17.6.5 до 19.3.6, 19.4 до 19.4.3 и 19.5 до 19.5.1
CVSS 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)

Спасибо altair00 за сообщение об этой уязвимости через программу HackerOne

CVE-2026-13319 — Обход авторизации через управляемый пользователем ключ в API вех группы

GitLab устранила проблему, которая позволила бы аутентифицированному пользователю читать метаданные вех, включая названия, описания и полные пути проектов, из произвольных приватных проектов в инстансе без какого-либо членства в проекте из-за отсутствия проверок авторизации на управляемом пользователем параметре фильтра проекта в API вех группы.

Затронутые версии: GitLab CE/EE: все версии от 15.10 до 19.3.6, 19.4 до 19.4.3 и 19.5 до 19.5.1
CVSS 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)

Спасибо a0xnirudh за сообщение об этой уязвимости через программу HackerOne

CVE-2026-112378 — Использование менее доверенного источника в заголовке включения функции AI Gateway

GitLab устранила проблему, которая при определённых условиях позволила бы аутентифицированному пользователю получить доступ к платным функциям AI без действительной подписки из-за недостаточной проверки на сервере при проверке правомочности платежей.

Затронутые версии: GitLab EE: все версии от 17.8 до 19.3.6, 19.4 до 19.4.3 и 19.5 до 19.5.1
CVSS 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N)

Уязвимость была обнаружена внутренним компонентом команды GitLab

CVE-2026-105711 — Использование кэша с конфиденциальной информацией при отрисовке заголовка merge request

GitLab устранила проблему, которая при ссылке merge request в публичном проекте на конфиденциальный issue из приватного проекта позволила бы аутентифицированному пользователю без членства в проекте прочитать название конфиденциального issue из-за ключа кэша фрагмента, независимого от просмотрщика, который неправильно делил отредактированное для пользователя содержимое между всеми пользователями.

Затронутые версии: GitLab CE/EE: все версии от 15.0 до 19.3.6, 19.4 до 19.4.3 и 19.5 до 19.5.1
CVSS 3.5 (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N)

Спасибо 20kilograma за сообщение об этой уязвимости через программу HackerOne

CVE-2026-14288 — Ненадлежащее управление доступом при применении политики утверждения merge request

GitLab устранила проблему, которая при определённых условиях позволила бы аутентифицированному пользователю обойти требуемую политику утверждения merge request на защищённой ветке из-за ненадлежащего управления доступом во время синхронизации правила утверждения.

Затронутые версии: GitLab EE: все версии от 17.4 до 19.3.6, 19.4 до 19.4.3 и 19.5 до 19.5.1
CVSS 3.1 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N)

Спасибо 3nvz за сообщение об этой уязвимости через программу HackerOne

CVE-2026-112326 — Ненадлежащая очистка при выброшенном исключении в выводах безопасности

GitLab устранила проблему, которая при определённых условиях позволила бы аутентифицированному пользователю с правами только для чтения постоянно удалить существующие записи об уязвимостях из-за ненадлежащей логики очистки, которая не различала предыдущие записи и новые при обработке ошибок.

Затронутые версии: GitLab EE: все версии от 17.8 до 19.3.6, 19.4 до 19.4.3 и 19.5 до 19.5.1
CVSS 3.1 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N)

Уязвимость была обнаружена внутренним компонентом команды GitLab

CVE-2026-103515 — Ненадлежащее управление доступом при применении блокировки администратора Duo для параметров Amazon Q

GitLab устранила проблему, которая при блокировке администратором инстанса доступности Duo для группы позволила бы аутентифицированному пользователю с правами Owner группы снова включить выход данных с поддержкой AI в стороннюю службу для этой группы и её дочерних проектов из-за недостаточной детализации контроля применения блокировки администратора.

Затронутые версии: GitLab EE: все версии от 19.2 до 19.3.6, 19.4 до 19.4.3 и 19.5 до 19.5.1
CVSS 2.7 (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N)

Спасибо 3nvz за сообщение об этой уязвимости через программу HackerOne

Исправления ошибок

19.5.1

• Обратный перенос страниц документации 19.5, отсутствующих в стабильной ветке
• Обратный перенос примечаний выпуска 19.5 в 19-5-stable-ee
• Обратный перенос «Игнорирование переменной CI в спецификациях экспериментов по умолчанию»
• Обратный перенос «Изоляция спецификации запроса средства выбора области видимости»
• Обратный перенос записи выпуска GitLab Runner 19.5 на последнюю стабильную ветку
• Обновление ссылки на helm chart CNG до v10.5.0
• Обратный перенос «Установка GITLAB_BIN_DIR для Duo CLI и обновление образа рабочего процесса до v0.0.23» в 19.5
• Обратный перенос «Возврат repository_storage из внутренней информации проекта Orbit» в 19.5
• Обратный перенос «Workhorse: возврат 429 при отклонении Gitaly GetArchive с ResourceExhausted»
• Обратный перенос «Выделение IID конвейера для конвейеров политики выполнения»
• Обратный перенос «Связь кнопки обзора списка коммитов с текущим путём файла» в 19.5
• Обратный перенос «Загрузка только необходимых столбцов фрагмента при резервном копировании репозиториев»
• [19.5] Обновление gitlab-markup до 2.2.0 и rdoc до 8.1.0
• Обратный перенос «Закрепление даты Baseline в .browserslistrc» в 19.5
• Обратный перенос: Кэширование элемента каталога основного потока за запрос
• Исправление типа рабочего элемента изменения и вспомогательной вехи с полем функций
• Обратный перенос «Вызвать обход Rouge без захвата обратного следа» в 19.5
• Обратный перенос «Добавление записей What's New для 202610150001_19_05»
• Обратный перенос «Возврат 404 для архива Orbit и changed_paths при отсутствии репозитория» в 19.5
• Обратный перенос «Остановка заданий без выборки от заимствования git object pool» и «Исправление git alternates нисходящих конвейеров»
• [19.5] Добавление патча переполнения ID повторения regexp Ruby для 3.3, 3.4 и 4.0
• [19.5] Добавление патча переполнения ID повторения regexp Ruby для 3.3, 3.4 и 4.0

19.4.3

• Добавление образа siphon-tables с определениями таблиц Siphon CDC [19.4]
• [19.4] Добавление патча переполнения ID повторения regexp Ruby для 3.3, 3.4 и 4.0
• Обратный перенос «Раскрытие дат tagger для включения в ListRefs» в 19.4
• Обратный перенос «Удаление устаревшего события merge_request из триггеров потока разработчика» в 19.4
• Обратный перенос «Добавление ошибок fallback IP в Gitlab::HTTP HTTP_ERRORS» в 19.4
• Обратный перенос «Возобновление синхронизации обогащения CVE через файлы экспорта» в 19.4
• Обратный перенос «Исправление обрезанных дифференциалов для неавторизованных пользователей» в 19.4
• Обратный перенос «Удаление доверенного флага из предоставленных клиентом инструментов MCP в Workhorse» в 19.4
• Обратный перенос «Исправление быстрого перемещения слияния при совпадении тега с именем целевой ветки» в 19.4
• Обратный перенос «Игнорирование переменной CI в спецификациях экспериментов по умолчанию»
• Обратный перенос «Добавление отсутствующих утверждений ID token для конвейеров fork MR» в 19.4
• Обратный перенос «Загрузка только необходимых столбцов фрагмента при резервном копировании репозиториев»
• Обратный перенос «Установка GITLAB_BIN_DIR для Duo CLI и обновление образа рабочего процесса до v0.0.23» в 19.4
• Обратный перенос «Закрепление даты Baseline в .browserslistrc» в 19.4
• Обратный перенос «Возврат repository_storage из внутренней информации проекта Orbit» в 19.4
• Обратный перенос «Workhorse: возврат 429 при отклонении Gitaly GetArchive с ResourceExhausted»
• Обратный перенос «Выделение IID конвейера для конвейеров политики выполнения»
• [19.4] Обновление gitlab-markup до 2.2.0 и rdoc до 8.1.0
• Обратный перенос «Возврат 404 для архива Orbit и changed_paths при отсутствии репозитория» в 19.4
• Обратный перенос «Вызвать обход Rouge без захвата обратного следа» в 19.4
• Обратный перенос «Удаление ненужной массовой загрузки коммитера из полей возможности слияния» в 19.4
• Обратный перенос «Корректировки опыта Wiki» в 19.4
• [19.4] Добавление патча переполнения ID повторения regexp Ruby для 3.3, 3.4 и 4.0

19.3.6

• [19.3] Добавление патча переполнения ID повторения regexp Ruby для 3.3, 3.4 и 4.0
• Обратный перенос «Раскрытие дат tagger для включения в ListRefs» в 19.3
• Обратный перенос «Добавление ошибок fallback IP в Gitlab::HTTP HTTP_ERRORS» в 19.3
• Обратный перенос «Возобновление синхронизации обогащения CVE через файлы экспорта» в 19.3
• Обратный перенос «Исправление быстрого перемещения слияния при совпадении тега с именем целевой ветки» в 19.3
• Обратный перенос «Удаление доверенного флага из предоставленных клиентом инструментов MCP в Workhorse» в 19.3
• Обратный перенос «Добавление отсутствующих утверждений ID token для конвейеров fork MR» в 19.3
• Обратный перенос «Загрузка только необходимых столбцов фрагмента при резервном копировании репозиториев»
• Обратный перенос «Workhorse: возврат 429 при отклонении Gitaly GetArchive с ResourceExhausted»
• Обратный перенос «Закрепление даты Baseline в .browserslistrc» в 19.3
• Обратный перенос «Возврат repository_storage из внутренней информации проекта Orbit» в 19.3
• [19.3] Обновление gitlab-markup до 2.2.0 и rdoc до 8.1.0
• Обратный перенос «Корректировки опыта Wiki» в 19.3
• Обратный перенос «Вызвать обход Rouge без захвата обратного следа» в 19.3
• Обратный перенос «Возврат 404 для архива Orbit и changed_paths при отсутствии репозитория» в 19.3
• Обновление Prometheus до версии 3.13.2 (19-3-stable)
• [19.3] Добавление патча переполнения ID повторения regexp Ruby для 3.3, 3.4 и 4.0

19.2.9

• [19.2] Добавление патча переполнения ID повторения regexp Ruby для 3.3, 3.4 и 4.0
• Обратный перенос «Добавление отсутствующих утверждений ID token для конвейеров fork MR» в 19.2
• [19.2] Обновление gitlab-markup до 2.2.0 и rdoc до 8.1.0
• Обновление Prometheus до версии 3.13.2 (19-2-stable)
• [19.2] Добавление патча переполнения ID повторения regexp Ruby для 3.3, 3.4 и 4.0

19.1.9

• Обновление websocket-driver с 0.8.0 до 0.8.2 (обратный перенос в 19-1-stable-ee)
• Обратный перенос «Исправление перекрытия миграции backfill при пустых разделах CI» в 19-1-stable-ee
• Обратный перенос «Обновление GitLab Elasticsearch Indexer до 5.14.14» в 19.1
• Обратный перенос «Отклонить утверждение системного сбоя в спецификации secrets» в 19-1-stable-ee
• Обновление gitlab-shell до 14.56.1 в 19.1 (исправление вращения CPU gitlab-sshd)
• Обновление PostgreSQL до версии 17.11 (19-1-stable)
• Обновление Consul до версии 1.22.7 (19-1-stable)
• Слияние ветки «sdg-fips-staging-upload-internal-release» в 19.1
• Обратный перенос !9672 в 19-1-stable: selinux: добавление правил sshd_session_t и sshd_auth_t для RHEL 10 / OpenSSH 9.8+
• Обратный перенос !9744 в 19-1-stable: разрешение быстрого поиска ключей SSH для sshd в SELinux
• Обработка состояния потоковой передачи Patroni как работающего узла (обратный перенос в 19-1-stable)
• [19.1] Добавление патча двойного освобождения диапазона повторения Ruby для 3.3 и 3.4
• [19.1] Добавление патча двойного освобождения диапазона повторения Ruby для 3.3 и 3.4

19.0.10

• Увеличение времени ожидания upload для staging и production с 35m до 60m
• [19.0] Добавление патча двойного освобождения диапазона повторения Ruby для 3.3 и 3.4
• [19.0] Добавление патча двойного освобождения диапазона повторения Ruby для 3.3 и 3.4

18.11.13

• Увеличение времени ожидания upload для staging и production с 35m до 60m
• Обновления безопасности Mattermost от 13 августа 2026 г.
• [18.11] Добавление патча двойного освобождения диапазона повторения Ruby для 3.3 и 3.4
• [18.11] Добавление патча двойного освобождения диапазона повторения Ruby для 3.3 и 3.4

Важные замечания при обновлении

Этот патч включает миграции базы данных, которые могут повлиять на процесс обновления.

Влияние на установку:

• Одноузловые инстансы: Этот патч вызовет простой во время обновления, так как миграции должны завершиться перед запуском GitLab.
• Многоузловые инстансы: При надлежащих процедурах обновления без простоев этот патч может быть применён без простоев.

Обычные миграции

Следующие версии включают обычные миграции, которые выполняются во время процесса обновления:

• 19.4.3
• 19.3.6

Post-deploy миграции

Следующие версии включают post-deploy миграции, которые можно запустить после обновления:

• 19.4.3

Дополнительно об влиянии обновлений на установку смотрите:

• Обновления без простоев для развертывания с несколькими узлами
• Стандартные обновления для одноузловых установок

Обновление

Для обновления GitLab смотрите страницу обновления. Для обновления GitLab Runner смотрите страницу обновления Runner.

Получение уведомлений о патчах

Чтобы получать уведомления о патчах по электронной почте, посетите нашу страницу контактов. Чтобы получать уведомления о выпусках через RSS, подпишитесь на нашу ленту RSS для патч-выпусков или нашу ленту RSS для всех выпусков.