Уязвимост в GitLab, позволяваща заобикаляне на двуфакторната автентикация

Публикувани са коригиращи актуализации на платформата за съвместна разработка GitLab — 18.8.2, 18.7.2, 18.6.4, в които е отстранена уязвимост (CVE-2026-0723), позволяваща заобикаляне на проверката при двуфакторна автентикация. За да осъществи атака, злоумишленикът трябва да знае идентификатора на данните на жертвата. Уязвимостта е причинена от липсата на подходяща проверка на връщаната стойност в услугите за автентикация.

Освен това, в новите версии са отстранени още 4 уязвимости, две от които са маркирани като опасни. Тези проблеми водят до отказ на услугата при изпращане на специално оформени заявки към компонента за интеграция с Jira Connect (CVE-2025-13927), API за управление на релизите (CVE-2025-13928) и SSH (CVE-2026-1102), както и до зацикляне при създаване на специално оформен Wiki-документ (CVE-2025-13335).

На всички потребители се препоръчва спешно да инсталират актуализацията. Детайли за проблема не се разкриват засега и ще станат публично достъпни след 30 дни от публикуването на корекцията. Информацията за уязвимостите е предадена в GitLab в рамките на активната програма на HackerOne за изплащане на награди за откритие на уязвимости.

Източник: opennet.ru