Уязвимост в GitLab, която позволява заобикаляне на двуфакторната автентикация

Публикувани са корективни актуализации на платформата за съвместна работа GitLab — 18.8.2, 18.7.2, 18.6.4, в които е отстранена уязвимост (CVE-2026-0723), позволяваща заобикаляне на проверката при двуфакторна автентикация. За да осъществи атака, злонамереният потребител трябва да знае идентификатора на данните на жертвата. Уязвимостта е причинена от липсата на адекватна проверка на стойността, връщана от услугите за автентикация.

Освен това, в новите версии са отстранени още 4 уязвимости, две от които са маркирани като опасни. Тези проблеми водят до отказ на обслужване при изпращане на специално оформени заявки към компонента за интеграция с Jira Connect (CVE-2025-13927), API за управление на версиите (CVE-2025-13928) и SSH (CVE-2026-1102), а също така и до зацикляне при създаване на специално оформен Wiki-документ (CVE-2025-13335).

Всички потребители се препоръчва спешно да инсталират актуализацията. Подробности за проблема все още не са разкрити и ще станат публично достъпни след 30 дни от публикуване на корекцията. Информацията за уязвимостите е предоставена на GitLab в рамките на активната програма на HackerOne за възнаграждения за откриване на уязвимости.

Източник: opennet.ru