Mittel28 / 100Konfidenz: Mittel

CVSS10.0EPSS0.5 %Über Netz erreichbarOhne AnmeldungOhne Zutun des Nutzers

Prüfen Sie die Herstellerinformationen und aktualisieren Sie umgehend alle betroffenen GitLab-Instanzen auf die Versionen 19.2.8, 19.3.4, 19.4.2 oder neuer.

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 10.0+18
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-16275, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Darunter eine behoerdliche Primaerquelle
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-10-12 10:54 UTCMethodik

IT / Cloud / SaaS

[NEU] [hoch] GitLab: Mehrere Schwachstellen

CERT-Bund·12. Oktober 2026, 10:54

Originalartikel lesen bei CERT-Bund

Mehrere hochkritische Schwachstellen in GitLab ermöglichen Angreifern die Ausführung beliebigen Codes, Datenmanipulation und Informationsdiebstahl. Betroffen sind verschiedene Open Source GitLab-Versionen auf Linux, UNIX und anderen Plattformen. Nutzer sollten dringend die bereitgestellten Herstellerinformationen prüfen und umgehend auf die neuesten Versionen aktualisieren.

SecBoard-Einordnung

Die Schwachstellen erlauben Angreifern, beliebigen Code auszuführen, Daten zu manipulieren und sensible Informationen zu stehlen, was zu erheblichen Sicherheitsverletzungen führen kann.

Realistisch schlimmster Fall: Ein Angreifer könnte die Kontrolle über die GitLab-Instanz übernehmen, sensible Repository-Daten exfiltrieren, die Code-Integrität kompromittieren und die Entwicklungspipeline stören.

Key Facts· 12 / 24

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-97229

CVSS: 10.0 · CRITICAL
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cve@gitlab.com

CVE-2026-92883

CVSS: 8.7 · HIGH
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: cve@gitlab.com

CVE-2026-16301

CVSS: 8.5 · HIGH
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: cve@gitlab.com

CVE-2026-14814

CVSS: 8.2 · HIGH
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: cve@gitlab.com

CVE-2026-81839

CVSS: 7.7 · HIGH
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: cve@gitlab.com

CVE-2026-96893

CVSS: 7.3 · HIGH
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: cve@gitlab.com

CVE-2026-101168

CVSS: 6.2 · MEDIUM
EPSS: 0.2%
Über das Netz: nein
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
Patch: unbekannt
Zuweisende CNA: cve@gitlab.com

CVE-2026-7767

CVSS: 5.8 · MEDIUM
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit
Patch: unbekannt
Zuweisende CNA: cve@gitlab.com

CVE-2026-16275

CVSS: 5.3 · MEDIUM
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
Patch: unbekannt
Zuweisende CNA: cve@gitlab.com

CVE-2026-84284

CVSS: 5.3 · MEDIUM
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
Patch: unbekannt
Zuweisende CNA: cve@gitlab.com

CVE-2026-85529

CVSS: 5.3 · MEDIUM
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
Patch: unbekannt
Zuweisende CNA: cve@gitlab.com

CVE-2026-100755

CVSS: 4.6 · MEDIUM
EPSS: 0.1%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: ja
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: cve@gitlab.com

Betroffen

Organisationen, die Open Source GitLab-Versionen auf Linux, UNIX und anderen Plattformen einsetzen.

Hersteller

Gitlab

Produkte

Gitlab

▸ CPE-Rohbezeichner anzeigen (2)

cpe:2.3:a:gitlab:gitlab:*:*:*:*:community:*:*:*
cpe:2.3:a:gitlab:gitlab:*:*:*:*:enterprise:*:*:*

Prüfen

▸Überprüfen Sie die aktuell installierte GitLab-Version und stellen Sie sicher, dass diese 19.2.8, 19.3.4, 19.4.2 oder neuer ist.
▸Scannen Sie Ihre GitLab-Instanzen auf bekannte Schwachstellen und Konfigurationsfehler.

▸ 1 weitere

▸Überwachen Sie ungewöhnliche Aktivitäten oder Zugriffe auf Ihre GitLab-Server, insbesondere nach der Aktualisierung.

Offene Punkte

▸ anzeigen

▸Die spezifischen CVE-IDs der Schwachstellen sind im Artikel nicht genannt.
▸Die genaue Art der 'anderen Plattformen' neben Linux und UNIX ist nicht spezifiziert.
▸Details zu den Angriffsvektoren für jede einzelne Schwachstelle sind nicht aufgeführt.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Unklar
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Möglich
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Haben wir GitLab extern erreichbar?

MITRE ATT&CK(4)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1041Exfiltration Over C2 Channelzugeordnet

„Informationsdiebstahl“

T1059Command and Scripting Interpreterzugeordnet

„Ausführung beliebigen Codes“

T1490Inhibit System Recoveryzugeordnet

„Datenmanipulation“

T1562Impair Defenseszugeordnet

„Sicherheitsmaßnahmen umgehen“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

[NEU] [hoch] GitLab: Mehrere Schwachstellen

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Themen

hoch

Vollständigen Artikel lesen bei CERT-Bund

Erwähnte CVEs (12)

CVE-2026-97229CRITICAL(10.0)

EPSS 0.5%

GitLab has remediated an issue in GitLab CE/EE affecting all versions from 19.2 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an unauthenticated user to execute arbitrary code on the GitLab server via a specially crafted regular expression in a CI/CD configuration, due to insufficient regular expression validation.

Details NVD

CVE-2026-92883HIGH(8.7)

EPSS 0.3%

GitLab has remediated an issue in GitLab CE/EE affecting all versions from 19.1 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user to execute arbitrary JavaScript in the context of other users' browser sessions via a specially crafted repository, due to improper sanitization of HTML attributes in syntax-highlighted output.

Details NVD

CVE-2026-16301HIGH(8.5)

EPSS 0.2%

GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.7 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user with Developer role to execute CI/CD pipelines on protected branches without authorization due to improper authorization checks in the downstream pipeline creation service.

Details NVD

CVE-2026-14814HIGH(8.2)

EPSS 0.2%

GitLab has remediated an issue in GitLab CE/EE affecting all versions before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed a user to poison cached responses for raw repository files, causing targeted users' CI/CD pipelines to execute specially crafted content and potentially exposing protected environment variables, due to improper validation of repository references.

Details NVD

CVE-2026-81839HIGH(7.7)

EPSS 0.3%

GitLab has remediated an issue in GitLab EE affecting all versions from 18.1 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user to execute arbitrary CI/CD pipelines in a transferred project with the new group's privileges due to improper cleanup of scheduled pipeline execution policy records.

Details NVD

CVE-2026-96893HIGH(7.3)

EPSS 0.5%

GitLab has remediated an issue in GitLab EE affecting all versions from 19.1 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user to inject specially crafted content into AI agent instructions, potentially causing unintended command execution attributed to other users, due to improper neutralization of special elements in AI conversation context construction.

Details NVD

CVE-2026-101168MEDIUM(6.2)

EPSS 0.2%

GitLab has remediated an issue in GitLab CE/EE affecting all versions from 12.0 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user with access to GitLab Pages log data to obtain access tokens and other secrets, due to insertion of sensitive request data into log files and error tracking events.

Details NVD

CVE-2026-7767MEDIUM(5.8)

EPSS 0.3%

GitLab has remediated an issue in GitLab CE/EE affecting all versions from 13.11 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an authenticated user controlling a Kubernetes agent to cause sensitive authentication tokens to be sent to an unintended server due to improper redirect validation in the Kubernetes proxy.

Details NVD

CVE-2026-16275MEDIUM(5.3)

EPSS 0.3%

GitLab has remediated an issue in GitLab CE/EE affecting all versions from 17.4 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an unauthenticated user to read confidential notes on public projects due to incorrect authorization checks.

Details NVD

CVE-2026-84284MEDIUM(5.3)

EPSS 0.2%

GitLab has remediated an issue in GitLab CE/EE affecting all versions from 17.11 before 19.2.8, 19.3 before 19.3.6, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an unauthenticated user to read work item contents from private groups and projects due to incorrect authorization checks.

Details NVD

CVE-2026-85529MEDIUM(5.3)

EPSS 0.2%

GitLab has remediated an issue in GitLab CE/EE affecting all versions from 19.2 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an unauthenticated user to read internal notes and confidential system notes on public projects due to improper authorization in the GraphQL API.

Details NVD

CVE-2026-100755MEDIUM(4.6)

EPSS 0.1%

GitLab has remediated an issue in GitLab CE/EE affecting all versions from 16.2 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain deployment configurations, could have allowed an authenticated user to poison cached page content served to other users due to improper cache key construction.

Details NVD

SecBoard-Einordnung

Key Facts· 12 / 24

Betroffen

Prüfen

Offene Punkte

Red-Team-Relevanz

MITRE ATT&CK(4)

Quellen & Belege· 1 Quelle

Verknüpfte Intelligence

Verwandte Artikel