Уязвимость обхода контроля AI-инструментов в GitLab EE — CVE-2026-92529

В корпоративной редакции GitLab выявлена уязвимость, связанная с недостаточной проверкой прав доступа. Она позволяет аутентифицированному пользователю с ролью developer обходить механизмы управления AI-инструментами, настроенные администратором. Проблеме присвоен идентификатор CVE-2026-92529.

Подробности

Уязвимость класса Incorrect Authorization (некорректная авторизация) затрагивает GitLab EE — все версии начиная с 19.1 до 19.2.7, версии с 19.3 до 19.3.3 и версии с 19.4 до 19.4.1. Согласно описанию, при определённых условиях пользователь с ролью developer мог обойти административные правила управления AI-инструментами для рабочих процессов в namespace, которыми он не управляет. Причиной стала ненадлежащая проверка авторизации.

Уязвимости присвоена базовая оценка CVSS 4.3, что соответствует среднему уровню критичности. Эксплуатация требует наличия аутентифицированной учётной записи с правами developer и определённой конфигурации окружения, что снижает вероятность массовых атак, однако в корпоративной среде такие условия встречаются достаточно часто.

Что делать

GitLab уже выпустила исправления. Рекомендуется обновить инсталляцию до одной из следующих версий:

• 19.2.7 и выше в ветке 19.2;
• 19.3.3 и выше в ветке 19.3;
• 19.4.1 и выше в ветке 19.4.

Если оперативное обновление невозможно, стоит временно ограничить выдачу роли developer пользователям, которым она не требуется, и пересмотреть настройки управления AI-инструментами в namespace, где такие пользователи имеют доступ. Также полезно провести аудит действий пользователей с ролью developer в части работы с AI-функциями и убедиться, что контроль со стороны администраторов не был обойдён.

Уязвимость не критична, но напрямую затрагивает целостность административных политик — а значит, может использоваться как промежуточный шаг для доступа к функциональности, которая должна быть ограничена. Исправление доступно, поэтому приоритет стоит отдать своевременному обновлению до поддерживаемых версий.

Источник: CVE Project (cvelistV5)