Ruby’deki regex motoru hataları, GitLab’de dört kritik RCE açığına zemin hazırladı; özel desenler belleği bozabiliyor.
Ekim 26, 2026
Etiket: GitLab
Yazı
GitLab’daki kritik açık 12 yıllık sürümleri vuruyor
GitLab’da ortaya çıkan CVSS 10.0 kritik açık, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya izin verebiliyor; 12 yıla yayılan sürümleri etkiliyor.
Yazı
GitLab, doğrulama gerektirmeyen sunucu kodu açığını kapattı
GitLab, CI/CD akışında özel bir düzenli ifade üzerinden kimlik doğrulaması gerektirmeden sunucu kodu çalıştırılmasına yol açabilecek kritik açığı kapattı.
Yazı
GitLab, kendi barındırılan AI Gateway’te 9.9’luk kritik açığı kapattı
GitLab, CVE-2026-90970 kodlu kritik AI Gateway açığını yamaladı; yalnız kendi gateway’ini yönetenler 19.2.4, 19.3.2 ve 19.4.1’e geçmeli.
Yazı
GitLab’in e-posta token açığı kod itmeye ve CI çalıştırmaya izin veriyor
GitLab’in e-posta token’ı süresiz kaldığı için sızarsa kod gönderme ve CI çalıştırma yetkisi verebiliyor; saldırı IP ve 2FA’yı da aşabiliyor.
Yazı
GitLab’de kritik dosya okuma açığına saatler içinde tarama başladı
GitLab’de CVSS 10 puanlı CVE-2026-85706 açığı saatler içinde taranmaya başladı; CISA açığı KEV listesine ekledi.
Yazı
GitLab açığı CVE-2026-19478 birkaç gün içinde istismara uğradı
GitLab, CVE-2026-19478 kod enjeksiyonu açığı için yamaları yayımladı; watchTowr istismar denemeleri ve etkilenen sürümleri açıkladı.
Yazı
GitLab GraphQL açığı, herkese açık projeleri silmeye kadar gidiyordu
GitLab, CVE-2026-19478 ve CVE-2026-19650 açıklarını kapattı; kritik yama 17 Ağustos 2026’da olağan takvimin dışında yayımlandı.
Yazı
GitLab’da yamalanan RCE açığı için çalışan PoC yayımlandı
GitLab’ın Haziran ayında kapattığı bir açık için çalışan bir istismar kanıtı yayımlandı ve doğrulanmış kullanıcıların yamalanmamış self-managed kurulumlarda komut çalıştırabildiği gösterildi. Zincir, Jupyter not defteri önizlemesi ile Oj kütüphanesindeki iki bellek bozulması hatasını birleştiriyor; etkilenen sürümler için güncelleme şart, ancak bazı eski hatlar geri port alamıyor.