GitLab ha lanzado actualizaciones de seguridad críticas para corregir ocho vulnerabilidades detectadas en sus ediciones Community (CE) y Enterprise (EE). Se insta a los usuarios a actualizar inmediatamente a las versiones 19.1.2, 19.0.4 o 18.11.7, publicadas el 8 de julio de 2026, para mitigar riesgos de severidad alta, media y baja.

GitLab ha lanzado actualizaciones de seguridad críticas que corrigen ocho vulnerabilidades en sus ediciones Community Edition (CE) y Enterprise Edition (EE), instando a los usuarios a que actualicen inmediatamente para mitigar los riesgos potenciales.

Las versiones de parche más recientes, 19.1.2, 19.0.4 y 18.11.7, fueron publicadas el 8 de julio de 2026 e incluyen correcciones para problemas de severidad alta, media y baja que afectan a múltiples componentes de la plataforma.

La empresa confirmó que GitLab.com ya está ejecutando las versiones parcheadas, mientras que las instalaciones autogestionadas siguen estando en riesgo si no se actualizan.

Los clientes de GitLab Dedicated no se ven afectados y no necesitan realizar ninguna acción. Como parte de su ciclo de lanzamiento regular, GitLab entrega parches programados dos veces al mes, junto con actualizaciones ad hoc para vulnerabilidades críticas.

GitLab corrige ocho vulnerabilidades de seguridad

Entre los fallos más graves corregidos se encuentra una vulnerabilidad de scripting lintas sitios (XSS) de severidad alta, identificada como CVE-2026-6896.

Este problema afecta a GitLab EE y podría permitir que un atacante autenticado con acceso de nivel de desarrollador inyecte scripts maliciosos en la sesión del navegador de otro usuario.

La causa raíz reside en una desinfección incorrecta de la entrada proporcionada por el usuario dentro del renderizador de la tabla de evidencias de vulnerabilidades. Con una puntuación CVSS de 8.7, una explotación exitosa podría provocar la exposición de datos o el secuestro de la sesión.

Otro problema de severidad alta, CVE-2026-13320, implica la inyección de HTML en el renderizado del marcado de la wiki. Esta vulnerabilidad afecta tanto a las versiones CE como a las EE. Podría permitir a los atacantes ejecutar scripts arbitrarios en el navegador de una víctima bajo ciertas condiciones.

Aunque requiere privilegios más altos e interacción del usuario, sigue representando una amenaza significativa en entornos colaborativos donde se accede frecuentemente a contenido compartido.

También se abordaron varias vulnerabilidades de severidad media. Un fallo notable, CVE-2026-11827, afecta al espejo de repositorios en GitLab EE y podría permitir que atacantes con permisos de nivel de mantenedor accedan a credenciales almacenadas debido a mecanismos de protección insuficientes.

Otro problema, CVE-2026-8472, implica un control de acceso inadecuado en los elementos de trabajo, exponiendo potencialmente metadatos de proyectos privados a usuarios no autorizados.

GitLab también parcheó la CVE-2026-7492, un fallo de falta de autorización que podría permitir a usuarios no autenticados inferir la existencia de proyectos privados a través de referencias a discusiones de commits.

Aunque no expone directamente datos sensibles, tal filtración de información podría ayudar a los esfuerzos de reconocimiento de los actores de amenazas.

Los problemas de menor severidad incluyen debilidades de autorización y un fallo de ambigüedad de referencia. Por ejemplo, la CVE-2025-12506 podría causar discrepancias entre el contenido del repositorio visualizado y el descargable debido al manejo incorrecto de las referencias de Git.

Otras vulnerabilidades implican comprobaciones de autorización incorrectas en la configuración de grupos y en las funciones de gestión de cumplimiento, permitiendo potencialmente modificaciones no autorizadas bajo condiciones específicas.

Además de las correcciones de seguridad, el lanzamiento incluye múltiples correcciones de errores y mejoras de rendimiento, como actualizaciones en el manejo de aplicaciones OAuth, resoluciones de fugas de memoria y actualizaciones a la versión 1.25.11 de Go.

La actualización incluye migraciones de base de datos que pueden causar tiempo de inactividad en implementaciones de un solo nodo, mientras que los entornos de múltiples nodos pueden actualizarse con una interrupción mínima utilizando procedimientos de tiempo de inactividad cero.

GitLab enfatizó la importancia de mantener una higiene de seguridad sólida y recomendó que todos los usuarios actualicen a las últimas versiones parcheadas lo antes posible.

Retrasar las actualizaciones podría dejar los sistemas expuestos a vulnerabilidades conocidas, aumentando el riesgo de explotación en entornos de producción.

Por ejemplo, una organización que ejecute una instancia de GitLab EE sin parchear podría ser vulnerable a ataques XSS a través de datos de proyectos compartidos, permitiendo a los atacantes comprometer las sesiones de usuario y acceder a información de desarrollo sensible.

Aplicar las últimas actualizaciones elimina eficazmente este riesgo y fortalece la seguridad general de la plataforma. GitLab declaró que las divulgaciones detalladas de las vulnerabilidades estarán disponibles públicamente en su rastreador de problemas después de 90 días, de acuerdo con las prácticas de divulgación responsable.

Fuentes:
https://cybersecuritynews.com/gitlab-patches-security-vulnerabilities/