home / blog
2026-10-12 · critica
GitLab: esecuzione di codice senza login nella pipeline (CVE-2026-97229)
Esecuzione di codice senza login in GitLab CE ed EE, dalla configurazione della pipeline. CVSS 10,0: aggiornare.
Il 12 ottobre 2026 GitLab ha corretto CVE-2026-97229, una vulnerabilità critica che permette a un utente senza login di eseguire codice sul server. Il vettore è una espressione regolare malformata inserita nelle impostazioni della pipeline CI/CD, che non viene validata in modo adeguato. Il punteggio CVSS v3.1 è 10,0.
Le versioni corrette sono la 19.2.8, la 19.3.5 e la 19.4.2, rilasciate nello stesso giorno. Il bollettino di GitLab per la 19.4.2 è la fonte da consultare per i dettagli di ramo.
Aggiornare subito le istanze self-managed. Dopo l'aggiornamento, controllare i log per modifiche anomale alle configurazioni della pipeline, perché la vulnerabilità riguarda proprio quel punto di ingresso.
In sintesi
- Cosa
- Esecuzione di codice sul server GitLab da parte di un utente senza login, tramite un'espressione regolare malformata nelle impostazioni della pipeline.
- Gravità
- CVSS v3.1 10,0 (critica), secondo NVD.
- Versioni interessate
- Dalla 19.2 alla 19.2.8 esclusa, e dalla 19.3 alla 19.3.5 esclusa, secondo NVD. La release 19.4 è corretta nella 19.4.2.
- Correzione
- GitLab 19.2.8, 19.3.5 e 19.4.2, rilasciate il 12 ottobre 2026.
- Azione
- Aggiornare alla release corretta del proprio ramo. Verificare la versione installata nell'istanza.