GitLab در مورد حداکثر شدت آسیب پذیری اجرای کد هشدار می دهد

GitLab امروز به کاربران هشدار داد که فورا یک آسیب‌پذیری با حداکثر شدت را در کامپایلر Regular Expression CI/CD وصله کنند که می‌تواند به مهاجمان راه دور اجازه دهد کد دلخواه را روی نمونه‌های هدفمند اجرا کنند.

این نقص امنیتی حیاتی که با نام CVE-2026-97229 ردیابی می‌شود، توسط یک محقق امنیتی با استفاده از دسته «joaxcar» کشف و از طریق برنامه پاداش باگ HackerOne GitLab گزارش شد.

CVE-2026-97229 ناشی از ضعف سرریز اعداد صحیح در کامپایلر Regular Expression CI/CD GitLab است که عبارات منظم را در فایل های پیکربندی خط لوله پروژه ها تجزیه، کامپایل و ارزیابی می کند.

این شرکت در مشاوره روز دوشنبه توضیح داد: «GitLab مشکلی را برطرف کرده است که تحت شرایط خاصی می‌توانست به یک کاربر احراز هویت اجازه دهد تا کد دلخواه را از طریق یک عبارت منظم ساخته‌شده در پیکربندی CI/CD، به دلیل اعتبار سنجی عبارت منظم کافی، روی سرور GitLab اجرا کند.»

GitLab مشکل امنیتی نسخه های GitLab Community Edition (CE) و Enterprise Edition (EE) را از 19.2 قبل از 19.2.8، 19.3 قبل از 19.3.4 و 19.4 قبل از 19.4.2 برطرف کرد و از کاربران خواست بلافاصله سرورهای خود را وصله کنند.

این نسخه‌ها حاوی اشکالات و رفع‌های امنیتی مهمی هستند و ما قویا توصیه می‌کنیم که تمام نصب‌های GitLab خود مدیریت شونده فورا به یکی از این نسخه‌ها ارتقا داده شوند. "GitLab.com در حال حاضر نسخه اصلاح شده را اجرا می کند. مشتریان اختصاصی GitLab نیازی به اقدام ندارند."

CVE-2026-97229 آخرین مورد از یک رشته آسیب پذیری است که GitLab در ماه های اخیر به آن پرداخته است. در ژانویه، GitLab یک دور زدن احراز هویت دو مرحله‌ای با شدت بالا (CVE-2026-0723) را اصلاح کرد که به مهاجمانی که شناسه حساب هدف را می‌دانند، اجازه می‌دهد تا احراز هویت دو مرحله‌ای را در سرورهای نسخه‌های انجمن و سازمانی دور بزنند.

ماه گذشته، یکی دیگر از آسیب‌پذیری‌های با حداکثر شدت (CVE-2026-85706) را در GitLab CE/EE برطرف کرد که به مهاجمان احراز هویت نشده اجازه می‌دهد تا داده‌های حساس، مانند اعتبارنامه‌ها و سایر اسرار، را از سرورهای آسیب‌پذیر بخوانند.

یک روز بعد، آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) CVE-2026-85706 را به فهرست معایب خود که در طبیعت مورد سوء استفاده قرار می گیرد اضافه کرد و به آژانس های فدرال دستور داد تا سیستم های خود را ظرف سه روز ایمن کنند.

CISA پنج نقص GitLab را که از نوامبر 2021 در حملات مورد سوء استفاده قرار گرفته است، علامت گذاری کرده است، از جمله یکی که توسط باج افزارهای باج افزار مورد سوء استفاده قرار گرفته است.

GitLab می گوید که بیش از 30 میلیون کاربر ثبت نام شده و بیش از 50 درصد از شرکت های Fortune 100 از پلتفرم DevSecOps آن از جمله Nvidia، T-Mobile، Lockheed Martin، Airbus و Goldman Sachs استفاده می کنند.

به میکو هیپونن و رهبران امنیتی NFL، CHANEL و Atlassian بپیوندید تا در یک نشست دیجیتالی دو ساعته در مورد اینکه حملات با سرعت هوش مصنوعی چه تغییراتی می‌کنند، مدافعان چه کارهایی را باید انجام ندهند و چگونه اعتبار، تصمیم‌گیری، اصلاح و تأیید مجدد با سرعت ماشین را انجام دهند، بپیوندید.

سیسکو در مورد ایرادات مهمی که اجازه تصاحب سوئیچ Nexus را می دهد هشدار می دهد

نقص جدید به‌روزرسانی سیستم دل به هکرها اجازه می‌دهد تا از امتیازات روت برخوردار شوند

GitLab در مورد آسیب پذیری RCE حیاتی در سرویس AI Gateway هشدار می دهد

Check Point در مورد سوء استفاده هکرها از نقص امنیتی VPN RCE هشدار می دهد

هکرها شروع به سوء استفاده از نقص مهم وردپرس برای اجرای کد می کنند