Nová zranitelnost kompilátoru regulárních výrazů může umožnit spuštění kódu bez přihlášení. Opravy z předchozího týdne na ni nestačí.

GitLab 21. října 2026 opravil CVE-2026-110264 v Community Edition a Enterprise Edition. Celočíselné přetečení při kompilaci upraveného regulárního výrazu může za určitých podmínek vést ke spuštění libovolného kódu na serveru. Výrobce přidělil skóre CVSS 3.1 ve výši 10,0.

Dotčené řady sahají od verze 7.0. Oprava je v 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 a 19.5.1; starší vydání v příslušných větvích zůstávají zasažena. GitLab mimořádně přenesl opravu i do starších řad. GitLab.com už je opravený, stejně jako GitLab Dedicated od sestavení 19.3.5-internal0 a 19.4.2-internal0. Správci vlastních instalací mají aktualizovat okamžitě.

Balík řeší také převzetí účtu při souběžném automatickém propojování OmniAuth SAML a LDAP a podvržení sdílené mezipaměti OAuth/OIDC. Výrobce zveřejnil dvě detekce pokusů o zneužití kritické chyby: pády nativního procesu Onigmo a shluky chyb vykreslování Org mode. Jejich existence sama nedokládá úspěšné napadení.

V předchozím vydání jsme popsali CVE-2026-97229 opravenou 12. října. Nynější zpráva se týká jiného CVE a širšího okruhu verzí. Prakticky doporučujeme prověřit i instance nedávno označené za aktualizované a po opravě zkontrolovat běh pipeline a přihlašovací integrace. Při nalezených indiciích kompromitace je potřeba posoudit dopad na repozitáře i tajné údaje používané k nasazování aplikací.