انتشار پچ بحرانی GitLab

در 21 اکتبر 2026، نسخه های 19.5.1، 19.4.3، 19.3.6، 19.2.9، 19.1.9، 19.0.10، 18.11.13 را برای GitLab Community Edition (CE) و Enterprise Edition (EE) منتشر کردیم.

این نسخه‌ها حاوی اشکالات و رفع‌های امنیتی مهمی هستند، و ما قویا توصیه می‌کنیم که تمام نصب‌های GitLab خود مدیریت شونده فورا به یکی از این نسخه‌ها ارتقا داده شوند. GitLab.com در حال حاضر نسخه وصله شده را اجرا می کند. مستاجران اختصاصی GitLab که نسخه‌های 19.3.5-internal0 و 19.4.2-internal0 یا بالاتر را اجرا می‌کنند، قبلا این اصلاحات را دارند و نیازی به اقدام ندارند.

GitLab اصلاحاتی را برای آسیب‌پذیری‌ها در نسخه‌های پچ منتشر می‌کند. دو نوع انتشار وصله وجود دارد: انتشار برنامه‌ریزی‌شده و وصله‌های بحرانی موقت برای آسیب‌پذیری‌های با شدت بالا. نسخه های برنامه ریزی شده دو بار در ماه در چهارشنبه های دوم و چهارم منتشر می شوند. برای اطلاعات بیشتر، لطفا از کتابچه راهنمای انتشارات و پرسش‌های متداول امنیتی دیدن کنید. می‌توانید همه پست‌های وبلاگ انتشار GitLab را در اینجا ببینید.

برای رفع‌های امنیتی، مسائل مربوط به جزئیات هر آسیب‌پذیری، ۹۰ روز پس از انتشار که در آن وصله‌گذاری شده‌اند، در ردیاب مشکل ما عمومی می‌شوند.

ما متعهد هستیم که تمام جنبه‌های GitLab که در معرض دید مشتریان قرار می‌گیرد یا داده‌های مشتری میزبان مطابق با بالاترین استانداردهای امنیتی باشد. برای حفظ بهداشت امنیتی خوب، اکیدا توصیه می شود که همه مشتریان به آخرین نسخه پچ نسخه پشتیبانی شده خود ارتقا دهند. می‌توانید بهترین روش‌های بیشتر برای ایمن‌سازی نمونه GitLab خود را در پست وبلاگ ما بخوانید.

ما قویا توصیه می کنیم که تمام نصب هایی که نسخه ای را اجرا می کنند که تحت تأثیر مشکلات توضیح داده شده در زیر قرار دارند، در اسرع وقت به آخرین نسخه ارتقا داده شوند.

هنگامی که هیچ نوع استقرار خاصی (Omnibus، کد منبع، نمودار فرمان و غیره) از یک محصول ذکر نشده است، به این معنی است که همه انواع تحت تأثیر قرار می گیرند.

GitLab مشکلی را برطرف کرده است که تحت شرایط خاص می‌توانست به یک کاربر احراز هویت اجازه دهد تا کد دلخواه را در سرور GitLab به دلیل سرریز اعداد صحیح هنگام کامپایل کردن یک عبارت منظم ساخته شده خاص اجرا کند.

علاوه بر نسخه‌های پچ استاندارد، ما این اصلاح را به نسخه‌های 18.11.13، 19.0.10، 19.1.9 و 19.2.9 GitLab CE/EE پشتیبان‌گیری کرده‌ایم.

نسخه های تحت تاثیر: GitLab CE/EE: همه نسخه ها از 7.0 قبل از 18.11.13، 19.0 قبل از 19.0.10، 19.1 قبل از 19.1.9، 19.2 قبل از 19.2.9، 19.3 قبل از 19.3.6، قبل از 19.3.4، قبل از 19.3.4، قبل از 19.4. 19.5.1 CVSS 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)

از joaxcar برای گزارش این آسیب‌پذیری از طریق برنامه جایزه باگ HackerOne سپاسگزاریم

امنیت GitLab دو شناسایی تهدید را برای پشتیبانی از مشتریان با نمونه های خود مدیریتی منتشر کرده است که در زیر فهرست شده است. زیرساخت های مدیریت شده توسط GitLab، از جمله GitLab.com و GitLab Dedicated، همچنان اصلاح شده است.

GitLab مشکلی را برطرف کرده است که وقتی پیوند خودکار OmniAuth SAML و LDAP هر دو فعال بودند، یک کاربر احراز هویت شده می‌توانست یک حساب کاربری با پشتیبانی LDAP موجود را بدون هیچ گونه تعاملی با کاربر مورد نظر، به دلیل پاکسازی نامناسب ورودی در مسیر جستجوی ایمیل LDAP که در طول پیوند هویت OmniAuth استفاده می‌شد، تصاحب کند.

نسخه های تحت تاثیر: GitLab CE/EE: همه نسخه ها از 10.1 قبل از 19.3.6، 19.4 قبل از 19.4.3 و 19.5 قبل از 19.5.1 CVSS 8.2 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N:H/S:C)

برای گزارش این آسیب‌پذیری از طریق برنامه جایزه باگ HackerOne ما از شما متشکریم

GitLab مشکلی را برطرف کرده است که در شرایط خاص، یک کاربر احراز هویت نشده می‌تواند سند کشف OAuth/OIDC حافظه پنهان مشترک را مسموم کند تا جریان‌های خاصی را به یک سرور کنترل‌شده خارجی هدایت کند، به دلیل اعتماد نامناسب به مقادیر ارائه‌شده توسط کاربر هنگام ساخت URL‌های نقطه پایانی در پاسخ‌های کشف حافظه پنهان.

نسخه‌های تحت تأثیر: GitLab CE/EE: همه نسخه‌های 18.3 قبل از 19.3.6، 19.4 قبل از 19.4.3 و 19.5 قبل از 19.5.1 CVSS 7.5 (CVSS:3.1/AV:N/AC:H/PR:N/UI:R:A/S:CLA)

این آسیب پذیری به صورت داخلی توسط پیتر آرتس، عضو تیم GitLab کشف شده است

GitLab مشکلی را برطرف کرده است که تحت شرایط خاص، به دلیل اجرای ناکافی محدوده در یک فیلد GraphQL، می‌توانست به یک کاربر احراز هویت شده با یک توکن با محدوده read_api اجازه دهد تا آدرس ایمیل ورودی پروژه را بازیابی کند و موارد کاری را ایجاد کند، با دور زدن محدودیت‌های توکن.

نسخه‌های تحت تأثیر: GitLab CE/EE: همه نسخه‌ها از 18.2 قبل از 19.3.6، 19.4 قبل از 19.4.3 و 19.5 قبل از 19.5.1 CVSS 6.8 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N:H/S:U)

از go7f0 برای گزارش این آسیب‌پذیری از طریق برنامه جایزه باگ HackerOne سپاسگزاریم

GitLab مشکلی را برطرف کرده است که وقتی قفل عضویت SAML یا LDAP در سطح نمونه فعال می‌شد، یک کاربر احراز هویت می‌توانست عضویت پروژه و گروه را خارج از کنترل ارائه‌دهنده هویت اعطا کرده یا بپذیرد، به دلیل اجرای ناقص قفل عضویت در درخواست‌های ایجاد شده قبل از فعال شدن قفل.

نسخه‌های تحت تأثیر: GitLab EE: همه نسخه‌های 12.0 قبل از 19.3.6، 19.4 قبل از 19.4.3 و 19.5 قبل از 19.5.1 CVSS 5.9 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:UL)

از 3nvz برای گزارش این آسیب‌پذیری از طریق برنامه پاداش باگ HackerOne سپاسگزاریم

GitLab مشکلی را برطرف کرده است که در شرایط خاص، یک کاربر احراز هویت نشده می‌توانست اعتبار سرور داخلی حساس را به دلیل فیلتر نادرست هدرهای پاسخ داخلی بازیابی کند.

نسخه های تحت تاثیر: GitLab CE/EE: همه نسخه ها از 17.6.5 قبل از 19.3.6، 19.4 قبل از 19.4.3 و 19.5 قبل از 19.5.1 CVSS 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UIN:N/L)

با تشکر از altair00 برای گزارش این آسیب پذیری از طریق برنامه جایزه باگ HackerOne

GitLab مشکلی را برطرف کرده است که به دلیل عدم بررسی مجوز در پارامتر فیلتر پروژه ارائه شده توسط کاربر در API گروهی Milestones، می‌توانست به کاربر تأیید شده اجازه دهد ابرداده‌های نقطه عطف، از جمله عناوین، توضیحات و مسیرهای کامل پروژه را از پروژه‌های خصوصی دلخواه در سراسر نمونه بدون عضویت در پروژه بخواند.

نسخه های تحت تاثیر: GitLab CE/EE: همه نسخه ها از 15.10 قبل از 19.3.6، 19.4 قبل از 19.4.3 و 19.5 قبل از 19.5.1 CVSS 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/U/UN:N:A/S

با تشکر از a0xnirudh برای گزارش این آسیب پذیری از طریق برنامه جایزه باگ HackerOne ما

GitLab مشکلی را برطرف کرده است که تحت شرایط خاصی می توانست به یک کاربر احراز هویت شده اجازه دهد بدون اشتراک معتبر به ویژگی های AI پولی دسترسی داشته باشد، زیرا اعتبارسنجی سمت سرور کافی در بررسی های واجد شرایط بودن صورتحساب وجود ندارد.

نسخه های تحت تاثیر: GitLab EE: همه نسخه های 17.8 قبل از 19.3.6، 19.4 قبل از 19.4.3 و 19.5 قبل از 19.5.1 CVSS 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:NI/ULC)

این آسیب پذیری به صورت داخلی توسط یکی از اعضای تیم GitLab، Halil Coban کشف شده است

GitLab مشکلی را برطرف کرده است که وقتی یک درخواست ادغام در یک پروژه عمومی به یک مشکل محرمانه از یک پروژه خصوصی ارجاع می‌داد، یک کاربر احراز هویت بدون عضویت در پروژه می‌توانست عنوان مسئله محرمانه را بخواند، به دلیل وجود یک کلید حافظه پنهان قطعه مستقل از بیننده که به اشتباه محتوای رندر شده توسط کاربر را در بین همه کاربران به اشتراک می‌گذاشت.

نسخه‌های تحت تأثیر: GitLab CE/EE: همه نسخه‌های 15.0 قبل از 19.3.6، 19.4 قبل از 19.4.3 و 19.5 قبل از 19.5.1 CVSS 3.5 (CVSS:3.1/AV:N/AC:L/PR:L/UI:R:A/S:U)

20 کیلوگرم برای گزارش این آسیب پذیری از طریق برنامه جایزه باگ HackerOne ما متشکریم.

GitLab مشکلی را برطرف کرده است که تحت شرایط خاص می توانست به یک کاربر احراز هویت شده اجازه دهد تا یک خط مشی تأیید درخواست ادغام مورد نیاز را در یک شاخه محافظت شده به دلیل کنترل دسترسی نامناسب در هنگام همگام سازی قوانین تأیید دور بزند.

نسخه‌های تحت تأثیر: GitLab EE: همه نسخه‌های 17.4 قبل از 19.3.6، 19.4 قبل از 19.4.3 و 19.5 قبل از 19.5.1 CVSS 3.1 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:NI/ULC)

GitLab مشکلی را برطرف کرده است که تحت شرایط خاصی می‌توانست به یک کاربر احراز هویت با مجوزهای فقط خواندنی اجازه دهد تا رکوردهای آسیب‌پذیری موجود را به‌دلیل منطق پاک‌سازی نادرست که تشخیص داده بین رکوردهای قبلی از موارد جدید ایجاد شده در هنگام مدیریت خطا به‌طور دائمی حذف شود.

نسخه‌های تحت تأثیر: GitLab EE: همه نسخه‌ها از 17.8 قبل از 19.3.6، 19.4 قبل از 19.4.3 و 19.5 قبل از 19.5.1 CVSS 3.1 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:NI/ULC)

این آسیب پذیری به صورت داخلی توسط عضو تیم GitLab، Gregory Havenga کشف شده است

GitLab مشکلی را برطرف کرده است که وقتی یک سرپرست نمونه در دسترس بودن Duo گروه را قفل می‌کرد، یک کاربر احراز هویت با مجوزهای مالک گروه می‌توانست خروج داده‌های پشتیبان‌شده با هوش مصنوعی را به یک سرویس شخص ثالث برای آن گروه و پروژه‌های نسل بعدی آن، به دلیل عدم کنترل دقیق قفل مدیریت، دوباره فعال کند.

نسخه‌های تحت تأثیر: GitLab EE: همه نسخه‌های 19.2 قبل از 19.3.6، 19.4 قبل از 19.4.3 و 19.5 قبل از 19.5.1 CVSS 2.7 (CVSS:3.1/AV:N/AC:L/PR:H/U:N/S:NI/ULC)

این وصله شامل انتقال پایگاه داده است که ممکن است بر روند ارتقای شما تأثیر بگذارد.

نسخه‌های زیر شامل مهاجرت‌های معمولی هستند که در طول فرآیند ارتقا اجرا می‌شوند:

نسخه‌های زیر شامل مهاجرت‌های پس از استقرار هستند که می‌توانند پس از ارتقا اجرا شوند:

برای کسب اطلاعات بیشتر در مورد تأثیر ارتقاء بر نصب خود، ببینید:

برای به‌روزرسانی GitLab، صفحه به‌روزرسانی را ببینید. برای به‌روزرسانی GitLab Runner، به صفحه Updating the Runner مراجعه کنید.

برای دریافت اعلان‌های وبلاگ وصله ارسال شده به صندوق ورودی خود، از صفحه تماس با ما دیدن کنید. برای دریافت اعلان‌های انتشار از طریق RSS، در فید RSS انتشار پچ یا فید RSS ما برای همه نسخه‌ها مشترک شوید.