GitLab insta a los usuarios a parchear una vulnerabilidad de recorrido de rutas de gravedad máxima.

El jueves, GitLab instó a los usuarios a parchear inmediatamente sus servidores contra una vulnerabilidad de recorrido de rutas (path traversal) de gravedad máxima, identificada como CVE-2026-85706.

El fallo de seguridad, descubierto por un investigador que utiliza el alias "s3ntago" y reportado a través del programa de recompensas por errores (bug bounty) de GitLab en HackerOne, se debe a una restricción de rutas inadecuada y a la falta de aplicación de autenticación en la API de commits de repositorios.

Según GitLab, atacantes no autenticados pueden explotar la vulnerabilidad CVE-2026-85706 para leer archivos arbitrarios de servidores vulnerables "bajo ciertas condiciones".

Ayer, GitLab corrigió una segunda vulnerabilidad crítica, identificada como CVE-2026-87719, derivada de una debilidad de deserialización insegura en el serializador de suscripciones de GraphQL.

La vulnerabilidad CVE-2026-87719 afecta a GitLab EE y permite a usuarios autenticados con acceso a Duo Chat robar credenciales confidenciales y configuraciones de instancia de Búsqueda Avanzada (Advanced Search).

El jueves, GitLab solucionó ambos problemas de seguridad en las versiones 19.3.2, 19.2.6 y 19.1 de GitLab Community Edition (CE) y Enterprise Edition (EE), e instó a los usuarios a actualizar sus sistemas de inmediato.

"Estas versiones incluyen correcciones importantes de errores y de seguridad; recomendamos encarecidamente actualizar todas las instalaciones de GitLab autogestionadas a una de estas versiones lo antes posible", advirtió la empresa el jueves. "GitLab.com ya está ejecutando la versión corregida. Los clientes de GitLab Dedicated no necesitan realizar ninguna acción".