GitLab: vulnerabilità critica CVE-2026-85706 sfruttata entro 24 ore

GitLab ha divulgato CVE-2026-85706, una vulnerabilità di path traversal con punteggio CVSS 10.0 nell'API dei commit dei repository. Un aggressore non autenticato può inviare una singola richiesta HTTP appositamente costruita per leggere file arbitrari dal server. Tra i dati potenzialmente esposti figurano chiavi SSH, credenziali di database, deploy token, variabili CI/CD e configurazioni sensibili. watchTowr ha osservato scansioni e tentativi di sfruttamento in rete entro 24 ore dalla pubblicazione dell'avviso, mentre CISA ha inserito la falla nel catalogo Known Exploited Vulnerabilities. Le organizzazioni con istanze GitLab self-hosted esposte a Internet devono aggiornare immediatamente, limitare temporaneamente l'accesso pubblico e cercare nei log richieste POST sospette dirette all'API vulnerabile.

Source: Security Affairs