CVE-2026-84739: XSS в GitLab через diff viewer merge request

GitLab выпустил исправления для уязвимости, получившей идентификатор CVE-2026-84739. Проблема относится к классу Improper Neutralization of Input During Web Page Generation, более известному как Cross-site Scripting (XSS). Уязвимость затрагивает как Community Edition, так и Enterprise Edition.

Подробности

Согласно данным CVE Project, уязвимость присутствует во всех версиях GitLab CE/EE начиная с 13.11 и до 19.2.7, а также в ветках 19.3 (до 19.3.3) и 19.4 (до 19.4.1). Оценка по шкале CVSS составляет 8.7, что соответствует высокому уровню опасности. Причина уязвимости — недостаточная санитизация компонентов пути в просмотрщике diff'ов merge request (merge request diff viewer). При определённых условиях аутентифицированный пользователь мог внедрить и выполнить произвольный JavaScript-код в контексте браузерной сессии другого пользователя. Это означает, что злоумышленнику с действующей учётной записью достаточно было добиться взаимодействия жертвы с особым образом сформированным содержимым, чтобы получить возможность действовать от её имени в веб-интерфейсе: читать данные, доступные жертве, выполнять действия в её сессии и потенциально перехватывать чувствительную информацию. Ключевая особенность этой уязвимости — отсутствие необходимости в неаутентифицированном доступе: эксплуатация возможна изнутри инсталляции, что повышает риски для команд, использующих GitLab как центральный хаб разработки. Оценка CVSS отражает высокую степень влияния на конфиденциальность и целостность данных пользователя.

Что делать

Основная рекомендация — обновить GitLab до исправленных версий:

• ветка 19.2 — до 19.2.7 и выше;
• ветка 19.3 — до 19.3.3 и выше;
• ветка 19.4 — до 19.4.1 и выше.

Обновление следует проводить в соответствии с официальной процедурой GitLab, с предварительным резервным копированием и проверкой совместимости. Если немедленное обновление невозможно, стоит рассмотреть временные компенсирующие меры: ограничение доступа к инсталляции доверенными пользователями, усиленный мониторинг подозрительной активности в веб-интерфейсе и в журналах, а также информирование сотрудников о фишинговых и социально-инженерных сценариях, которые могут использоваться для доставки эксплойта. Автоматическое сканирование не является заменой обновлению, но позволяет выявить уязвимые узлы в инфраструктуре.

Итог

CVE-2026-84739 — серьёзная XSS-уязвимость в GitLab с оценкой 8.7, позволяющая аутентифицированному атакующему выполнять код в сессии другого пользователя. Затронут широкий спектр версий, поэтому администраторам GitLab CE/EE следует приоритизировать обновление до 19.2.7, 19.3.3 или 19.4.1 и не откладывать патчинг.

Источник: CVE Project (cvelistV5)