GitLab ha lanzado actualizaciones de seguridad urgentes para sus ediciones Community Edition (CE) y Enterprise Edition (EE) con el fin de abordar una amplia gama de vulnerabilidades. Las nuevas versiones 18.9.2, 18.8.6 y 18.7.6 solucionan un total de 15 problemas de seguridad, incluyendo fallos críticos de Cross-Site Scripting (XSS) y Denegación de Servicio (DoS). Se insta encarecidamente a los administradores de instancias autogestionadas a aplicar los parches correspondientes. 

GitLab ha lanzado actualizaciones de seguridad urgentes para su Community Edition (CE) y Enterprise Edition (EE) con el fin de abordar una amplia gama de vulnerabilidades.

Las versiones recién publicadas 18.9.2, 18.8.6 y 18.7.6 solucionan un total de 15 problemas de seguridad, incluyendo fallos críticos de Cross-Site Scripting (XSS) y Denegación de Servicio (DoS).

Se insta encarecidamente a los administradores de instancias autogestionadas a aplicar estos parches de inmediato para mantener una buena higiene de seguridad y proteger sus entornos.

Vulnerabilidades de GitLab parcheadas

El problema más crítico abordado en esta versión es CVE-2026-1090, una vulnerabilidad XSS de alta gravedad con una puntuación CVSS de 8.7.

Este fallo existe en el procesamiento de marcadores de posición Markdown de GitLab cuando la función de marcadores de posición Markdown está habilitada.

Un atacante autenticado puede eludir las comprobaciones de saneamiento adecuadas para inyectar JavaScript malicioso en el navegador de una víctima, lo que podría llevar a acciones no autorizadas o al secuestro de sesiones.

Además, GitLab parcheó tres vulnerabilidades DoS de alta gravedad que podrían permitir a atacantes no autenticados interrumpir servicios críticos.

Un fallo en la API GraphQL permite que solicitudes especialmente diseñadas provoquen recursión no controlada y agotamiento de recursos. Las solicitudes maliciosas enviadas a los puntos finales de archivo del repositorio también pueden desencadenar un ataque de denegación de servicio bajo condiciones específicas.

Asimismo, la validación incorrecta de cargas útiles JSON en la API de ramas protegidas puede explotarse fácilmente para bloquear el servicio. Más allá de los problemas de alta gravedad, esta actualización resuelve varios errores de gravedad media y baja.

Entre las correcciones notables se incluyen la mitigación de riesgos DoS en encabezados personalizados de webhooks (CVE-2025-13690) y en los puntos finales de webhooks (CVE-2025-12576).

El parche también neutraliza secuencias CRLF incorrectas (CVE-2026-3848) y soluciona problemas de control de acceso en la API de runners (CVE-2025-12555), que podrían haber permitido el acceso no autorizado a información de trabajos anteriores de pipelines.

También se corrigieron errores de divulgación de información que afectaban a problemas confidenciales. La actualización de seguridad aborda varios CVE específicos que los administradores deben tener en cuenta.

CVE-2026-1090 es un fallo XSS de alta gravedad en el procesamiento de marcadores de posición Markdown con una puntuación CVSS de 8.7.

También hay tres vulnerabilidades DoS de alta gravedad, cada una con una puntuación CVSS de 7.5: CVE-2026-1069 afecta a la API GraphQL, CVE-2025-13929 impacta en el punto final de archivo del repositorio, y CVE-2025-14513 se dirige a la API de ramas protegidas.

Además, el parche resuelve dos problemas DoS de gravedad media, ambos con una puntuación de 6.5 en la escala CVSS, que involucran encabezados personalizados de webhooks (CVE-2025-13690) y el punto final de webhooks (CVE-2025-12576).

Para garantizar la continuidad del servicio y la protección de datos, las organizaciones deben tomar medidas inmediatas. Actualiza todas las instalaciones autogestionadas de GitLab CE y EE a las versiones 18.9.2, 18.8.6 o 18.7.6.

Las instancias de un solo nodo experimentarán un breve tiempo de inactividad durante la actualización mientras se completan las migraciones de la base de datos. En cambio, las configuraciones multinodo pueden utilizar procedimientos de actualización sin tiempo de inactividad.

Los usuarios de GitLab.com y GitLab Dedicated ya están ejecutando las versiones parcheadas y no requieren acción administrativa. Los informes detallados de vulnerabilidades se harán públicos en el rastreador de problemas de GitLab 30 días después de este lanzamiento del parche.

Fuentes:
https://cybersecuritynews.com/gitlab-security-update-2/