شرکت GitLab یک آسیب‌پذیری امنیتی با شناسه CVE-2026-92470 را در نسخه‌های مختلف GitLab EE شناسایی و برطرف کرده است. این نقص امنیتی که دارای درجه شدت High است، در نسخه‌های ۱۸.۷ تا پیش از ۱۹.۲.۷، ۱۹.۳ تا پیش از ۱۹.۳.۳ و ۱۹.۴ تا پیش از ۱۹.۴.۱ مشاهده شده است.
جزئیات فنی آسیب‌پذیری
این مشکل به دلیل فقدان بررسی‌های لازم در سطح احراز هویت (Authorization Checks) رخ داده است. در شرایط خاص، یک کاربر احراز هویت شده (Authenticated User) می‌تواند از طریق قابلیت عیب‌یابی Duo AI، به مقادیر حساس متغیرهای CI/CD در ردپاهای مربوط به حالت دیباگ (Debug-mode job traces) دسترسی پیدا کند.
تأثیرات امنیتی
- افشای اطلاعات: دسترسی غیرمجاز به متغیرهای حساس که ممکن است شامل API Keyها، رمزهای عبور یا توکن‌های دسترسی باشد.
- سوءاستفاده از AI: بهره‌برداری از ویژگی‌های هوش مصنوعی برای استخراج داده‌های حساس از محیط‌های عملیاتی.
به مدیران امنیت و تیم‌های SOC توصیه می‌شود در سریع‌ترین زمان ممکن، نسخه‌های GitLab خود را به آخرین ورژن‌های اصلاح شده (۱۹.۲.۷، ۱۹.۳.۳ یا ۱۹.۴.۱) به‌روزرسانی کنند تا از وقوع نشت داده‌های حساس در خط لوله CI/CD جلوگیری شود.
