Introduzione
La vulnerabilità CVE-2026-85706 è stata scoperta nel repository commits API di GitLab, una piattaforma di gestione del codice sorgente molto popolare. La vulnerabilità permette a utenti non autenticati di leggere file arbitrari, grazie a una combinazione di improper path confinement e missing authentication enforcement. Il punteggio CVSSv3.1 di 10.0 indica una gravità critica.
Dettagli della vulnerabilità
La vulnerabilità è stata aggiunta al catalogo Known Exploited Vulnerabilities (KEV) dell'U.S. Cybersecurity and Infrastructure Security Agency (CISA) il 11 settembre 2026, con una data di scadenza per la rimozione del 14 settembre 2026. La CISA ha anche segnalato che la vulnerabilità è stata sfruttata attivamente.
Conseguenze e raccomandazioni
La vulnerabilità può essere sfruttata per accedere a informazioni sensibili, come ad esempio dati di autenticazione o chiavi di crittografia. Per prevenire attacchi, è fondamentale applicare la patch di sicurezza fornita da GitLab il più presto possibile. Inoltre, è consigliabile condurre un'analisi forense per verificare se la vulnerabilità è stata sfruttata.
Altre vulnerabilità
La patch di sicurezza di GitLab include anche la correzione di altre 17 vulnerabilità, tra cui la CVE-2026-87719, una vulnerabilità di deserializzazione insicura con un punteggio CVSSv3.1 di 9.9.