GitLab 安全更新修复 13 个漏洞

sec随谈
sec随谈

sec随谈

2026年6月26日 09:20
北京

在小说阅读器读本章

去阅读

摘要

GitLab 于 2026 年 6 月 24 日发布了软件补丁。这些新的 GitLab 安全更新修复了社区版（CE）和企业版（EE）中的 13 个漏洞。因此，管理员必须立即升级到 19.1.1、19.0.3 或 18.11.6 版本。

为何重要

这些漏洞对用户数据和系统完整性构成高风险。具体而言，最严重的漏洞 CVSS 评分高达 8.7 和 8.0。例如，CVE-2026-10086 影响分析仪表板（Analytics Dashboard）。另一个漏洞 CVE-2026-10712 则针对 Web IDE 工作台。因此，攻击者可能会劫持用户会话或窃取敏感的项目数据。目前，供应商尚未确认有针对这些漏洞的在野利用活动。此外，研究人员也尚未公开任何概念验证（PoC）漏洞利用代码。

攻击原理

这些漏洞涉及多种攻击机制。首先，CVE-2026-10086 源于对用户输入数据的清理不当。该缺陷使攻击者能够执行任意客户端代码。其次，CVE-2026-10712 由路径验证不当引起，未经身份验证的用户可借此运行恶意 JavaScript。此外，CVE-2026-12053 在 Duo Workflows 中导致信息泄露。根据安全公告，这一问题源于输出过滤不充分。最后，其他几个漏洞可导致注册表策略和 API 端点中的授权绕过。

受影响版本

这些安全缺陷影响多个版本的 GitLab CE 和 EE。

• 19.1 系列中 19.1.1 之前的版本
• 19.0 系列中 19.0.3 之前的版本
• 18.11 及更早系列中 18.11.6 之前的版本

不同漏洞影响的历史版本范围各不相同。例如，部分漏洞可追溯影响到早至 8.3 版本的所有安装实例。

补丁与缓解措施

GitLab 强烈敦促所有用户立即升级其安装。你可以阅读完整的 GitLab 补丁发布文档，获取具体的升级说明。管理员应安装 19.1.1、19.0.3 或 18.11.6 版本以保护其环境。该公司表示，强烈建议所有运行受影响版本的安装实例尽快升级到最新版本。延迟此次更新将使源代码仓库面临被劫持和数据被盗的风险。

参考链接：

https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-1-1-released/