Op 21 oktober 2026 heeft GitLab een reeks kritieke patch-releases uitgebracht voor zowel de Community Edition (CE) als de Enterprise Edition (EE) (versies 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 en 18.11.13). Beheerders van self-managed installaties wordt dringend geadviseerd direct te upgraden.
Belangrijkste beveiligingsfixes:
- Kritiek (CVSS 10.0): CVE-2026-110264, waarbij een integer overflow in de Regular Expression Compiler ongeauthenticeerde gebruikers in staat stelde willekeurige code uit te voeren op de server.
- Hoog: Kwetsbaarheden in OmniAuth-to-LDAP authenticatie en cache poisoning in OAuth/OIDC discovery endpoints.
- Medium/Laag: Diverse problemen met betrekking tot Improper Access Control, internal credential exposure en autorisatie-omzeilingen in API's.
Naast de beveiligingspatches bevatten de updates diverse bugfixes en component-upgrades (zoals PostgreSQL en Prometheus). De upgrade kan downtime veroorzaken voor single-node installaties vanwege noodzakelijke database-migraties, terwijl multi-node installaties via specifieke procedures zonder downtime kunnen worden bijgewerkt.
Kritieke Patch Release van GitLab: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13
Deze versies bevatten belangrijke bug- en beveiligingsfixes. We raden alle beheerders van self-managed GitLab-installaties dringend aan om onmiddellijk te upgraden naar een van deze versies. GitLab.com draait reeds op de gepatchte versie. GitLab Dedicated-tenants die versie 19.3.5-internal0, 19.4.2-internal0 of later gebruiken, bevatten deze fixes al en hoeven geen actie te ondernemen.
Patch-beleid van GitLab
GitLab brengt beveiligingsfixes uit via patch-releases. Er zijn twee soorten patch-releases:
- Geplande releases: Deze verschijnen tweemaal per maand, op de tweede en vierde woensdag.
- Ad-hoc kritieke patches: Deze worden uitgebracht voor kwetsbaarheden met een hoge ernst.
Voor meer informatie kunt u het releases-handboek en de security FAQ raadplegen. Alle blogberichten over GitLab-releases zijn via de officiële blog beschikbaar.
Voor beveiligingsfixes worden de details van elke kwetsbaarheid 90 dagen na de release waarin ze zijn gepatcht, openbaar gemaakt in onze issue tracker.
GitLab streeft ernaar om alle aspecten die toegankelijk zijn voor klanten of die klantgegevens hosten, te onderwerpen aan de hoogste beveiligingsnormen. Om een goede beveiligingshygiëne te behouden, is het sterk aanbevolen dat alle klanten upgraden naar de nieuwste patch-release voor hun ondersteunde versie.
Aanbevolen actie
We raden alle installaties die een versie gebruiken die beïnvloed wordt door de hieronder beschreven problemen, dringend aan om zo snel mogelijk te upgraden naar de nieuwste versie.
Wanneer er geen specifiek deployment-type (zoals omnibus, source code, helm chart, etc.) wordt genoemd, betekent dit dat alle types beïnvloed zijn.
Beveiligingsfixes
Overzicht van beveiligingsfixes
| Titel | Ernst |
|---|
| Integer Overflow in Regular Expression Compiler (GitLab CE/EE) | Kritiek |
| Improper Authentication in OmniAuth-to-LDAP auto-linking email lookup (GitLab CE/EE) | Hoog |
| Cache Poisoning in OAuth/OIDC discovery endpoints (GitLab CE/EE) | Hoog |
| Improper Access Control in GraphQL work item email address field (GitLab CE/EE) | Medium |
| Onvolledige handhaving van instance-wide SAML/LDAP membership lock (GitLab EE) | Medium |
| Internal Credential Exposure in internal response headers (GitLab CE/EE) | Medium |
| Authorization Bypass via User-Controlled Key in group milestones API (GitLab CE/EE) | Medium |
| Use of Less Trusted Source in AI Gateway feature enablement header (GitLab EE) | Medium |
| Use of Cache Containing Sensitive Information in merge request title rendering (GitLab CE/EE) | Laag |
| Improper Access Control in merge request approval policy enforcement (GitLab EE) | Laag |
| Improper Cleanup on Thrown Exception in security findings (GitLab EE) | Laag |
| Improper Access Control in group Duo admin-lock enforcement for Amazon Q settings (GitLab EE) | Laag |
---
Gedetailleerde beschrijvingen van kwetsbaarheden
CVE-2026-110264 - Integer Overflow in Regular Expression Compiler (GitLab CE/EE)
GitLab heeft een probleem opgelost waarbij een niet-geauthenticeerde gebruiker onder bepaalde omstandigheden willekeurige code kon uitvoeren op de GitLab-server. Dit was mogelijk door een integer overflow bij het compileren van een specifiek opgestelde reguliere expressie. Naast de standaard patch-releases is deze fix teruggepoort naar GitLab CE/EE versies 18.11.13, 19.0.10, 19.1.9 en 19.2.9.
- Beïnvloede versies: GitLab CE/EE: alle versies vanaf 7.0 vóór 18.11.13, 19.0 vóór 19.0.10, 19.1 vóór 19.1.9, 19.2 vóór 19.2.9, 19.3 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)
- Credit: joaxcar via het HackerOne bug bounty programma.
Detectie van exploitatiepogingen (CVE-2026-110264) GitLab Security heeft twee threat detections uitgebracht om klanten met self-managed instances te ondersteunen:
- Onigmo native worker crash
- Org mode render error burst
CVE-2026-15723 - Improper Authentication in OmniAuth-to-LDAP auto-linking email lookup (GitLab CE/EE)
Er is een probleem verholpen waarbij een geauthenticeerde gebruiker een bestaand LDAP-account kon overnemen zonder interactie van de doelgebruiker. Dit was mogelijk wanneer zowel OmniAuth SAML als LDAP auto-linking waren ingeschakeld, door onjuiste input-sanitisatie in het LDAP-email lookup pad.
- Beïnvloede versies: GitLab CE/EE: alle versies vanaf 10.1 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 8.2 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N)
- Credit: stealthy via het HackerOne bug bounty programma.
CVE-2026-112212 - Cache Poisoning in OAuth/OIDC discovery endpoints (GitLab CE/EE)
GitLab heeft een probleem opgelost waarbij een niet-geauthenticeerde gebruiker onder bepaalde omstandigheden een gedeeld cache-document van OAuth/OIDC discovery kon 'vergiftigen' (poisonen). Hierdoor konden bepaalde flows worden omgeleid naar een extern gecontroleerde server.
- Beïnvloede versies: GitLab CE/EE: alle versies vanaf 18.3 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 7.5 (CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:L)
- Credit: Intern ontdekt door GitLab teamlid Peter Arts.
CVE-2026-12664 - Improper Access Control in GraphQL work item email address field (GitLab CE/EE)
Er is een probleem opgelost waarbij een geauthenticeerde gebruiker met een read_api-scoped token onder bepaalde omstandigheden het inkomende e-mailadres van een project kon opvragen en work items kon maken, waardoor de beperkingen van het token werden omzeild.
- Beïnvloede versies: GitLab CE/EE: alle versies vanaf 18.2 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 6.8 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N)
- Credit: go7f0 via het HackerOne bug bounty programma.
CVE-2026-16255 - Onvolledige handhaving van instance-wide SAML/LDAP membership lock (GitLab EE)
GitLab heeft een probleem opgelost waarbij een geauthenticeerde gebruiker project- en groepsleden kon toevoegen of accepteren buiten de controle van de identity provider, zelfs wanneer de instance-wide SAML- of LDAP-membership lock was ingeschakeld.
- Beïnvloede versies: GitLab EE: alle versies vanaf 12.0 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 5.9 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:N)
- Credit: 3nvz via het HackerOne bug bounty programma.
CVE-2026-105777 - Internal Credential Exposure in internal response headers (GitLab CE/EE)
Er is een probleem opgelost waarbij een niet-geauthenticeerde gebruiker onder bepaalde omstandigheden gevoelige interne server-credentials kon opvragen door onjuiste filtering van interne response headers.
- Beïnvloede versies: GitLab CE/EE: alle versies vanaf 17.6.5 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
- Credit: altair00 via het HackerOne bug bounty programma.
CVE-2026-13319 - Authorization Bypass via User-Controlled Key in group milestones API (GitLab CE/EE)
GitLab heeft een probleem opgelost waarbij een geauthenticeerde gebruiker zonder projectlidmaatschap metadata van milestones (inclusief titels, beschrijvingen en volledige projectpaden) kon lezen uit willekeurige private projecten.
- Beïnvloede versies: GitLab CE/EE: alle versies vanaf 15.10 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
- Credit: a0xnirudh via het HackerOne bug bounty programma.
CVE-2026-112378 - Use of Less Trusted Source in AI Gateway feature enablement header (GitLab EE)
Er is een probleem opgelost waarbij een geauthenticeerde gebruiker onder bepaalde omstandigheden toegang kon krijgen tot betaalde AI-functies zonder geldig abonnement, door onvoldoende server-side validatie bij de billing-checks.
- Beïnvloede versies: GitLab EE: alle versies vanaf 17.8 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N)
- Credit: Intern ontdekt door GitLab teamlid Halil Coban.
CVE-2026-105711 - Use of Cache Containing Sensitive Information in merge request title rendering (GitLab CE/EE)
GitLab heeft een probleem opgelost waarbij een geauthenticeerde gebruiker zonder projectlidmaatschap de titel van een vertrouwelijke issue uit een privaat project kon lezen, wanneer deze werd gereferereerd in een merge request van een publiek project.
- Beïnvloede versies: GitLab CE/EE: alle versies vanaf 15.0 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 3.5 (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N)
- Credit: 20kilograma via het HackerOne bug bounty programma.
CVE-2026-14288 - Improper Access Control in merge request approval policy enforcement (GitLab EE)
Er is een probleem opgelost waarbij een geauthenticeerde gebruiker onder bepaalde omstandigheden een vereiste merge request approval policy op een protected branch kon omzeilen.
- Beïnvloede versies: GitLab EE: alle versies vanaf 17.4 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 3.1 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N)
- Credit: 3nvz via het HackerOne bug bounty programma.
CVE-2026-112326 - Improper Cleanup on Thrown Exception in security findings (GitLab EE)
GitLab heeft een probleem opgelost waarbij een geauthenticeerde gebruiker met read-only rechten bestaande vulnerability records permanent kon verwijderen door foutieve cleanup-logica tijdens foutafhandeling.
- Beïnvloede versies: GitLab EE: alle versies vanaf 17.8 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 3.1 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N)
- Credit: Intern ontdekt door GitLab teamlid Gregory Havenga.
CVE-2026-103515 - Improper Access Control in group Duo admin-lock enforcement for Amazon Q settings (GitLab EE)
Er is een probleem opgelost waarbij een gebruiker met group Owner-rechten AI-backed data egress naar een third-party service opnieuw kon inschakelen voor een groep, zelfs wanneer een instance administrator de Duo-beschikbaarheid van die groep had vergrendeld.
- Beïnvloede versies: GitLab EE: alle versies vanaf 19.2 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 2.7 (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N)
- Credit: 3nvz via het HackerOne bug bounty programma.
---
Bugfixes
19.5.1
- Backport 19.5 docs pages missing from the stable branch
- Backport 19.5 release notes to 19-5-stable-ee
- Backport of ‘Ignore CI variable in roulette experiment default specs’
- Backport of ‘Quarantine the scope picker search query spec’
- Backport GitLab Runner 19.5 release post to the latest stable branch
- Bump CNG helm chart ref to v10.5.0
- Backport of ‘Set GITLABBINDIR for Duo CLI and bump workflow image to v0.0.23’ into 19.5
- Backport of ‘Return repository_storage from internal Orbit project info’ to 19.5
- Backport of ‘Workhorse: return 429 when Gitaly rejects GetArchive with ResourceExhausted’
- Backport of ‘Allocate pipeline IID for pipeline execution policy pipelines’
- Backport of ‘Link commit list browse button to the current file path’ to 19.5
- Backport of “Load only needed snippet columns when backing up repositories”
- Update gitlab-markup to 2.2.0 and rdoc to 8.1.0
- Backport of ‘Pin the Baseline date in .browserslistrc’ into 19.5
- Backport: Cache foundational flow catalog item per request
- Fix work item change type and child milestone with features field
- Backport of ‘Raise Rouge Fallthrough without capturing a backtrace’ to 19.5
- Backport of ‘Add What’s New entries for 2026101500011905’
- Backport of ‘Return 404 for Orbit archive and changed_paths when repository is missing’ to 19.5
- Backport of ‘Stop jobs without a fetch from borrowing the git object pool’ and ‘Fix downstream pipelines git alternates’
- Add Ruby regexp repeat ID overflow patch for 3.3, 3.4 and 4.0
19.4.3
- Add siphon-tables image bundling Siphon CDC table definitions
- Add Ruby regexp repeat ID overflow patch for 3.3, 3.4 and 4.0
- Backport of “Expose opt-in tagger dates in ListRefs” to 19.4
- Backport of ‘Remove stale merge_request event from Developer flow triggers’ to 19.4
- Backport of ‘Add IP fallback errors to Gitlab::HTTP HTTP_ERRORS’ to 19.4
- Backport of ‘Resume the CVE enrichment sync across export files’ to 19.4
- Backport of ‘Fix truncated diffs for signed-out users’ into 19.4
- Backport of ‘Strip the trusted flag from client-supplied MCP tools in Workhorse’ to 19.4
- Backport of ‘Fix fast-forward merge when a tag shares the target branch name’ to 19.4
- Backport of ‘Ignore CI variable in roulette experiment default specs’
- Backport of ‘Add missing ID token claims for fork MR pipelines’ to 19.4
- Backport of “Load only needed snippet columns when backing up repositories”
- Backport of ‘Set GITLABBINDIR for Duo CLI and bump workflow image to v0.0.23’ into 19.4
- Backport of ‘Pin the Baseline date in .browserslistrc’ into 19.4
- Backport of ‘Return repository_storage from internal Orbit project info’ to 19.4
- Backport of ‘Workhorse: return 429 when Gitaly rejects GetArchive with ResourceExhausted’
- Backport of ‘Allocate pipeline IID for pipeline execution policy pipelines’
- Update gitlab-markup to 2.2.0 and rdoc to 8.1.0
- Backport of ‘Return 404 for Orbit archive and changed_paths when repository is missing’ to 19.4
- Backport of ‘Raise Rouge Fallthrough without capturing a backtrace’ to 19.4
- Backport of ‘Remove unnecessary committer batch-load from mergeability fields’ to 19.4
- Backport of “Adjustments to Wiki experience” to 19.4
19.3.6
- Add Ruby regexp repeat ID overflow patch for 3.3, 3.4 and 4.0
- Backport of “Expose opt-in tagger dates in ListRefs” to 19.3
- Backport of ‘Add IP fallback errors to Gitlab::HTTP HTTP_ERRORS’ to 19.3
- Backport of ‘Resume the CVE enrichment sync across export files’ to 19.3
- Backport of ‘Fix fast-forward merge when a tag shares the target branch name’ to 19.3
- Backport of ‘Strip the trusted flag from client-supplied MCP tools in Workhorse’ to 19.3
- Backport of ‘Add missing ID token claims for fork MR pipelines’ to 19.3
- Backport of “Load only needed snippet columns when backing up repositories”
- Backport of ‘Workhorse: return 429 when Gitaly rejects GetArchive with ResourceExhausted’
- Backport of ‘Pin the Baseline date in .browserslistrc’ into 19.3
- Backport of ‘Return repository_storage from internal Orbit project info’ to 19.3
- Update gitlab-markup to 2.2.0 and rdoc to 8.1.0
- Backport of “Adjustments to Wiki experience” to 19.3
- Backport of ‘Raise Rouge Fallthrough without capturing a backtrace’ to 19.3
- Backport of ‘Return 404 for Orbit archive and changed_paths when repository is missing’ to 19.3
- Bump Prometheus to version 3.13.2 (19-3-stable)
19.2.9
- Add Ruby regexp repeat ID overflow patch for 3.3, 3.4 and 4.0
- Backport of ‘Add missing ID token claims for fork MR pipelines’ to 19.2
- Update gitlab-markup to 2.2.0 and rdoc to 8.1.0
- Bump Prometheus to version 3.13.2 (19-2-stable)
19.1.9
- Bump websocket-driver from 0.8.0 to 0.8.2 (backport to 19-1-stable-ee)
- Backport of ‘Fix backfill migration overlap on empty CI partitions’ to 19-1-stable-ee
- Backport of ‘Update GitLab Elasticsearch Indexer to 5.14.14’ to 19.1
- Backport ‘Drop system failure assertion in secrets spec’ to 19-1-stable-ee
- Bump gitlab-shell to 14.56.1 in 19.1 (gitlab-sshd CPU spin fix)
- Bump PostgreSQL to version 17.11 (19-1-stable)
- Bump Consul to version 1.22.7 (19-1-stable)
- Merge branch ‘sdg-fips-staging-upload-internal-release’ into 19.1
- Backport !9672 to 19-1-stable: selinux: add sshdsessiont and sshdautht rules for RHEL 10 / OpenSSH 9.8+
- Backport !9744 to 19-1-stable: Allow sshd fast SSH key lookup under SELinux
- Treat Patroni streaming state as a running node (backport to 19-1-stable)
- Add Ruby regexp repeat-range double-free patch for 3.3 and 3.4
19.0.10
- Increase staging and production upload timeout from 35m to 60m
- Add Ruby regexp repeat-range double-free patch for 3.3 and 3.4
18.11.13
- Increase staging and production upload timeout from 35m to 60m
- Add Ruby regexp repeat-range double-free patch for 3.3 and 3.4
Belangrijke opmerkingen bij het upgraden
Deze patch bevat database-migraties die invloed kunnen hebben op het upgradeproces.
Impact op uw installatie:
- Single-node instances: Deze patch zal downtime veroorzaken tijdens de upgrade, aangezien migraties voltooid moeten zijn voordat GitLab kan starten.
- Multi-node instances: Met de juiste zero-downtime upgrade-procedures kan deze patch zonder downtime worden toegepast.
Reguliere migraties De volgende versies bevatten reguliere migraties die tijdens het upgradeproces worden uitgevoerd:
Post-deploy migraties De volgende versies bevatten post-deploy migraties die na de upgrade kunnen worden uitgevoerd:
Bijwerken
Voor informatie over het bijwerken van GitLab, raadpleeg de Update-pagina. Voor het bijwerken van GitLab Runner, raadpleeg de Updating the Runner-pagina.
Kritieke Patch Release van GitLab: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13
Deze versies bevatten belangrijke bug- en beveiligingsfixes. We raden alle beheerders van self-managed GitLab-installaties dringend aan om onmiddellijk te upgraden naar een van deze versies. GitLab.com draait reeds op de gepatchte versie. GitLab Dedicated-tenants die versie 19.3.5-internal0, 19.4.2-internal0 of later gebruiken, bevatten deze fixes al en hoeven geen actie te ondernemen.
Patch-beleid van GitLab
GitLab brengt beveiligingsfixes uit via patch-releases. Er zijn twee soorten patch-releases:
- Geplande releases: Deze verschijnen tweemaal per maand, op de tweede en vierde woensdag.
- Ad-hoc kritieke patches: Deze worden uitgebracht voor kwetsbaarheden met een hoge ernst.
Voor meer informatie kunt u het releases-handboek en de security FAQ raadplegen. Alle blogberichten over GitLab-releases zijn via de officiële blog beschikbaar.
Voor beveiligingsfixes worden de details van elke kwetsbaarheid 90 dagen na de release waarin ze zijn gepatcht, openbaar gemaakt in onze issue tracker.
GitLab streeft ernaar om alle aspecten die toegankelijk zijn voor klanten of die klantgegevens hosten, te onderwerpen aan de hoogste beveiligingsnormen. Om een goede beveiligingshygiëne te behouden, is het sterk aanbevolen dat alle klanten upgraden naar de nieuwste patch-release voor hun ondersteunde versie.
Aanbevolen actie
We raden alle installaties die een versie gebruiken die beïnvloed wordt door de hieronder beschreven problemen, dringend aan om zo snel mogelijk te upgraden naar de nieuwste versie.
Wanneer er geen specifiek deployment-type (zoals omnibus, source code, helm chart, etc.) wordt genoemd, betekent dit dat alle types beïnvloed zijn.
Beveiligingsfixes
Overzicht van beveiligingsfixes
| Titel | Ernst |
|---|
| Integer Overflow in Regular Expression Compiler (GitLab CE/EE) | Kritiek |
| Improper Authentication in OmniAuth-to-LDAP auto-linking email lookup (GitLab CE/EE) | Hoog |
| Cache Poisoning in OAuth/OIDC discovery endpoints (GitLab CE/EE) | Hoog |
| Improper Access Control in GraphQL work item email address field (GitLab CE/EE) | Medium |
| Onvolledige handhaving van instance-wide SAML/LDAP membership lock (GitLab EE) | Medium |
| Internal Credential Exposure in internal response headers (GitLab CE/EE) | Medium |
| Authorization Bypass via User-Controlled Key in group milestones API (GitLab CE/EE) | Medium |
| Use of Less Trusted Source in AI Gateway feature enablement header (GitLab EE) | Medium |
| Use of Cache Containing Sensitive Information in merge request title rendering (GitLab CE/EE) | Laag |
| Improper Access Control in merge request approval policy enforcement (GitLab EE) | Laag |
| Improper Cleanup on Thrown Exception in security findings (GitLab EE) | Laag |
| Improper Access Control in group Duo admin-lock enforcement for Amazon Q settings (GitLab EE) | Laag |
---
Gedetailleerde beschrijvingen van kwetsbaarheden
CVE-2026-110264 - Integer Overflow in Regular Expression Compiler (GitLab CE/EE)
GitLab heeft een probleem opgelost waarbij een niet-geauthenticeerde gebruiker onder bepaalde omstandigheden willekeurige code kon uitvoeren op de GitLab-server. Dit was mogelijk door een integer overflow bij het compileren van een specifiek opgestelde reguliere expressie. Naast de standaard patch-releases is deze fix teruggepoort naar GitLab CE/EE versies 18.11.13, 19.0.10, 19.1.9 en 19.2.9.
- Beïnvloede versies: GitLab CE/EE: alle versies vanaf 7.0 vóór 18.11.13, 19.0 vóór 19.0.10, 19.1 vóór 19.1.9, 19.2 vóór 19.2.9, 19.3 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)
- Credit: joaxcar via het HackerOne bug bounty programma.
Detectie van exploitatiepogingen (CVE-2026-110264) GitLab Security heeft twee threat detections uitgebracht om klanten met self-managed instances te ondersteunen:
- Onigmo native worker crash
- Org mode render error burst
CVE-2026-15723 - Improper Authentication in OmniAuth-to-LDAP auto-linking email lookup (GitLab CE/EE)
Er is een probleem verholpen waarbij een geauthenticeerde gebruiker een bestaand LDAP-account kon overnemen zonder interactie van de doelgebruiker. Dit was mogelijk wanneer zowel OmniAuth SAML als LDAP auto-linking waren ingeschakeld, door onjuiste input-sanitisatie in het LDAP-email lookup pad.
- Beïnvloede versies: GitLab CE/EE: alle versies vanaf 10.1 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 8.2 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N)
- Credit: stealthy via het HackerOne bug bounty programma.
CVE-2026-112212 - Cache Poisoning in OAuth/OIDC discovery endpoints (GitLab CE/EE)
GitLab heeft een probleem opgelost waarbij een niet-geauthenticeerde gebruiker onder bepaalde omstandigheden een gedeeld cache-document van OAuth/OIDC discovery kon 'vergiftigen' (poisonen). Hierdoor konden bepaalde flows worden omgeleid naar een extern gecontroleerde server.
- Beïnvloede versies: GitLab CE/EE: alle versies vanaf 18.3 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 7.5 (CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:L)
- Credit: Intern ontdekt door GitLab teamlid Peter Arts.
CVE-2026-12664 - Improper Access Control in GraphQL work item email address field (GitLab CE/EE)
Er is een probleem opgelost waarbij een geauthenticeerde gebruiker met een read_api-scoped token onder bepaalde omstandigheden het inkomende e-mailadres van een project kon opvragen en work items kon maken, waardoor de beperkingen van het token werden omzeild.
- Beïnvloede versies: GitLab CE/EE: alle versies vanaf 18.2 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 6.8 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N)
- Credit: go7f0 via het HackerOne bug bounty programma.
CVE-2026-16255 - Onvolledige handhaving van instance-wide SAML/LDAP membership lock (GitLab EE)
GitLab heeft een probleem opgelost waarbij een geauthenticeerde gebruiker project- en groepsleden kon toevoegen of accepteren buiten de controle van de identity provider, zelfs wanneer de instance-wide SAML- of LDAP-membership lock was ingeschakeld.
- Beïnvloede versies: GitLab EE: alle versies vanaf 12.0 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 5.9 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:N)
- Credit: 3nvz via het HackerOne bug bounty programma.
CVE-2026-105777 - Internal Credential Exposure in internal response headers (GitLab CE/EE)
Er is een probleem opgelost waarbij een niet-geauthenticeerde gebruiker onder bepaalde omstandigheden gevoelige interne server-credentials kon opvragen door onjuiste filtering van interne response headers.
- Beïnvloede versies: GitLab CE/EE: alle versies vanaf 17.6.5 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
- Credit: altair00 via het HackerOne bug bounty programma.
CVE-2026-13319 - Authorization Bypass via User-Controlled Key in group milestones API (GitLab CE/EE)
GitLab heeft een probleem opgelost waarbij een geauthenticeerde gebruiker zonder projectlidmaatschap metadata van milestones (inclusief titels, beschrijvingen en volledige projectpaden) kon lezen uit willekeurige private projecten.
- Beïnvloede versies: GitLab CE/EE: alle versies vanaf 15.10 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
- Credit: a0xnirudh via het HackerOne bug bounty programma.
CVE-2026-112378 - Use of Less Trusted Source in AI Gateway feature enablement header (GitLab EE)
Er is een probleem opgelost waarbij een geauthenticeerde gebruiker onder bepaalde omstandigheden toegang kon krijgen tot betaalde AI-functies zonder geldig abonnement, door onvoldoende server-side validatie bij de billing-checks.
- Beïnvloede versies: GitLab EE: alle versies vanaf 17.8 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N)
- Credit: Intern ontdekt door GitLab teamlid Halil Coban.
CVE-2026-105711 - Use of Cache Containing Sensitive Information in merge request title rendering (GitLab CE/EE)
GitLab heeft een probleem opgelost waarbij een geauthenticeerde gebruiker zonder projectlidmaatschap de titel van een vertrouwelijke issue uit een privaat project kon lezen, wanneer deze werd gereferereerd in een merge request van een publiek project.
- Beïnvloede versies: GitLab CE/EE: alle versies vanaf 15.0 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 3.5 (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N)
- Credit: 20kilograma via het HackerOne bug bounty programma.
CVE-2026-14288 - Improper Access Control in merge request approval policy enforcement (GitLab EE)
Er is een probleem opgelost waarbij een geauthenticeerde gebruiker onder bepaalde omstandigheden een vereiste merge request approval policy op een protected branch kon omzeilen.
- Beïnvloede versies: GitLab EE: alle versies vanaf 17.4 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 3.1 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N)
- Credit: 3nvz via het HackerOne bug bounty programma.
CVE-2026-112326 - Improper Cleanup on Thrown Exception in security findings (GitLab EE)
GitLab heeft een probleem opgelost waarbij een geauthenticeerde gebruiker met read-only rechten bestaande vulnerability records permanent kon verwijderen door foutieve cleanup-logica tijdens foutafhandeling.
- Beïnvloede versies: GitLab EE: alle versies vanaf 17.8 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 3.1 (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N)
- Credit: Intern ontdekt door GitLab teamlid Gregory Havenga.
CVE-2026-103515 - Improper Access Control in group Duo admin-lock enforcement for Amazon Q settings (GitLab EE)
Er is een probleem opgelost waarbij een gebruiker met group Owner-rechten AI-backed data egress naar een third-party service opnieuw kon inschakelen voor een groep, zelfs wanneer een instance administrator de Duo-beschikbaarheid van die groep had vergrendeld.
- Beïnvloede versies: GitLab EE: alle versies vanaf 19.2 vóór 19.3.6, 19.4 vóór 19.4.3 en 19.5 vóór 19.5.1.
- CVSS score: 2.7 (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N)
- Credit: 3nvz via het HackerOne bug bounty programma.
---
Bugfixes
19.5.1
- Backport 19.5 docs pages missing from the stable branch
- Backport 19.5 release notes to 19-5-stable-ee
- Backport of ‘Ignore CI variable in roulette experiment default specs’
- Backport of ‘Quarantine the scope picker search query spec’
- Backport GitLab Runner 19.5 release post to the latest stable branch
- Bump CNG helm chart ref to v10.5.0
- Backport of ‘Set GITLABBINDIR for Duo CLI and bump workflow image to v0.0.23’ into 19.5
- Backport of ‘Return repository_storage from internal Orbit project info’ to 19.5
- Backport of ‘Workhorse: return 429 when Gitaly rejects GetArchive with ResourceExhausted’
- Backport of ‘Allocate pipeline IID for pipeline execution policy pipelines’
- Backport of ‘Link commit list browse button to the current file path’ to 19.5
- Backport of “Load only needed snippet columns when backing up repositories”
- Update gitlab-markup to 2.2.0 and rdoc to 8.1.0
- Backport of ‘Pin the Baseline date in .browserslistrc’ into 19.5
- Backport: Cache foundational flow catalog item per request
- Fix work item change type and child milestone with features field
- Backport of ‘Raise Rouge Fallthrough without capturing a backtrace’ to 19.5
- Backport of ‘Add What’s New entries for 2026101500011905’
- Backport of ‘Return 404 for Orbit archive and changed_paths when repository is missing’ to 19.5
- Backport of ‘Stop jobs without a fetch from borrowing the git object pool’ and ‘Fix downstream pipelines git alternates’
- Add Ruby regexp repeat ID overflow patch for 3.3, 3.4 and 4.0
19.4.3
- Add siphon-tables image bundling Siphon CDC table definitions
- Add Ruby regexp repeat ID overflow patch for 3.3, 3.4 and 4.0
- Backport of “Expose opt-in tagger dates in ListRefs” to 19.4
- Backport of ‘Remove stale merge_request event from Developer flow triggers’ to 19.4
- Backport of ‘Add IP fallback errors to Gitlab::HTTP HTTP_ERRORS’ to 19.4
- Backport of ‘Resume the CVE enrichment sync across export files’ to 19.4
- Backport of ‘Fix truncated diffs for signed-out users’ into 19.4
- Backport of ‘Strip the trusted flag from client-supplied MCP tools in Workhorse’ to 19.4
- Backport of ‘Fix fast-forward merge when a tag shares the target branch name’ to 19.4
- Backport of ‘Ignore CI variable in roulette experiment default specs’
- Backport of ‘Add missing ID token claims for fork MR pipelines’ to 19.4
- Backport of “Load only needed snippet columns when backing up repositories”
- Backport of ‘Set GITLABBINDIR for Duo CLI and bump workflow image to v0.0.23’ into 19.4
- Backport of ‘Pin the Baseline date in .browserslistrc’ into 19.4
- Backport of ‘Return repository_storage from internal Orbit project info’ to 19.4
- Backport of ‘Workhorse: return 429 when Gitaly rejects GetArchive with ResourceExhausted’
- Backport of ‘Allocate pipeline IID for pipeline execution policy pipelines’
- Update gitlab-markup to 2.2.0 and rdoc to 8.1.0
- Backport of ‘Return 404 for Orbit archive and changed_paths when repository is missing’ to 19.4
- Backport of ‘Raise Rouge Fallthrough without capturing a backtrace’ to 19.4
- Backport of ‘Remove unnecessary committer batch-load from mergeability fields’ to 19.4
- Backport of “Adjustments to Wiki experience” to 19.4
19.3.6
- Add Ruby regexp repeat ID overflow patch for 3.3, 3.4 and 4.0
- Backport of “Expose opt-in tagger dates in ListRefs” to 19.3
- Backport of ‘Add IP fallback errors to Gitlab::HTTP HTTP_ERRORS’ to 19.3
- Backport of ‘Resume the CVE enrichment sync across export files’ to 19.3
- Backport of ‘Fix fast-forward merge when a tag shares the target branch name’ to 19.3
- Backport of ‘Strip the trusted flag from client-supplied MCP tools in Workhorse’ to 19.3
- Backport of ‘Add missing ID token claims for fork MR pipelines’ to 19.3
- Backport of “Load only needed snippet columns when backing up repositories”
- Backport of ‘Workhorse: return 429 when Gitaly rejects GetArchive with ResourceExhausted’
- Backport of ‘Pin the Baseline date in .browserslistrc’ into 19.3
- Backport of ‘Return repository_storage from internal Orbit project info’ to 19.3
- Update gitlab-markup to 2.2.0 and rdoc to 8.1.0
- Backport of “Adjustments to Wiki experience” to 19.3
- Backport of ‘Raise Rouge Fallthrough without capturing a backtrace’ to 19.3
- Backport of ‘Return 404 for Orbit archive and changed_paths when repository is missing’ to 19.3
- Bump Prometheus to version 3.13.2 (19-3-stable)
19.2.9
- Add Ruby regexp repeat ID overflow patch for 3.3, 3.4 and 4.0
- Backport of ‘Add missing ID token claims for fork MR pipelines’ to 19.2
- Update gitlab-markup to 2.2.0 and rdoc to 8.1.0
- Bump Prometheus to version 3.13.2 (19-2-stable)
19.1.9
- Bump websocket-driver from 0.8.0 to 0.8.2 (backport to 19-1-stable-ee)
- Backport of ‘Fix backfill migration overlap on empty CI partitions’ to 19-1-stable-ee
- Backport of ‘Update GitLab Elasticsearch Indexer to 5.14.14’ to 19.1
- Backport ‘Drop system failure assertion in secrets spec’ to 19-1-stable-ee
- Bump gitlab-shell to 14.56.1 in 19.1 (gitlab-sshd CPU spin fix)
- Bump PostgreSQL to version 17.11 (19-1-stable)
- Bump Consul to version 1.22.7 (19-1-stable)
- Merge branch ‘sdg-fips-staging-upload-internal-release’ into 19.1
- Backport !9672 to 19-1-stable: selinux: add sshdsessiont and sshdautht rules for RHEL 10 / OpenSSH 9.8+
- Backport !9744 to 19-1-stable: Allow sshd fast SSH key lookup under SELinux
- Treat Patroni streaming state as a running node (backport to 19-1-stable)
- Add Ruby regexp repeat-range double-free patch for 3.3 and 3.4
19.0.10
- Increase staging and production upload timeout from 35m to 60m
- Add Ruby regexp repeat-range double-free patch for 3.3 and 3.4
18.11.13
- Increase staging and production upload timeout from 35m to 60m
- Add Ruby regexp repeat-range double-free patch for 3.3 and 3.4
Belangrijke opmerkingen bij het upgraden
Deze patch bevat database-migraties die invloed kunnen hebben op het upgradeproces.
Impact op uw installatie:
- Single-node instances: Deze patch zal downtime veroorzaken tijdens de upgrade, aangezien migraties voltooid moeten zijn voordat GitLab kan starten.
- Multi-node instances: Met de juiste zero-downtime upgrade-procedures kan deze patch zonder downtime worden toegepast.
Reguliere migraties De volgende versies bevatten reguliere migraties die tijdens het upgradeproces worden uitgevoerd:
Post-deploy migraties De volgende versies bevatten post-deploy migraties die na de upgrade kunnen worden uitgevoerd:
Bijwerken
Voor informatie over het bijwerken van GitLab, raadpleeg de Update-pagina. Voor het bijwerken van GitLab Runner, raadpleeg de Updating the Runner-pagina.
Groetjes,