Schwachstelle vom 29. Oktober 2026 · CVE-2026-97229

GitLab Integer Overflow

10,0 CVSS · kritischAktiv ausgenutzt

Integer Overflow in GitLab. Über das Netzwerk angreifbar, ohne Anmeldung, ohne Zutun eines Nutzers. CVSS 10,0 (kritisch). Laut CISA wird die Lücke bereits ausgenutzt. Behoben in 19.2.8, 19.3.5 und 19.4.2.

Sicherheitshinweis des Herstellers

docs.gitlab.com · Maßgeblich sind die Angaben des Herstellers.

Auf einen Blick

CVE

CVE-2026-97229

Produkt

GitLab

Hersteller

GitLab

Betroffene Versionen

≥ 19.2, < 19.2.8
≥ 19.3, < 19.3.5
≥ 19.4, < 19.4.2

laut Hersteller bzw. CVE-Herausgeber

Behoben in

19.2.8, 19.3.5, 19.4.2

CVSS

10,0 (kritisch)
CVSS 3.1, bewertet vom CVE-Herausgeber
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Aktiv ausgenutzt

Ja, laut CISA (im KEV-Katalog seit 29. Oktober 2026)

Schwachstellentyp

CWE-190 (Integer Overflow)

Veröffentlicht

13. Oktober 2026

Zuletzt geändert

31. Oktober 2026

Was zu tun ist

Auf eine behobene Version aktualisieren: 19.2.8, 19.3.5 und 19.4.2 oder neuer, je nach eingesetztem Versionszweig.
Den Bericht des Herstellers lesen: Er nennt die genauen Versionen und, falls vorhanden, Workarounds für den Fall, dass ein Update nicht sofort möglich ist.
Weil die Lücke bereits ausgenutzt wird: nach dem Update prüfen, ob das System vorher kompromittiert wurde.
Auch Test-, Staging- und vergessene Installationen derselben Software prüfen.

Sicherheitshinweis des Herstellers ↗

Originalbeschreibung

Englisch, aus dem CVE-Eintrag. Die Zusammenfassung oben ist aus den strukturierten Daten erstellt.

GitLab has remediated an issue in GitLab CE/EE affecting all versions from 19.2 before 19.2.8, 19.3 before 19.3.5, and 19.4 before 19.4.2 that, under certain conditions, could have allowed an unauthenticated user to execute arbitrary code on the GitLab server via a specially crafted regular expression in a CI/CD configuration, due to insufficient regular expression validation.
Bezeichnung bei CISA: GitLab Community Edition and Enterprise Edition Integer Overflow or Wraparound Vulnerability

Offizielle Referenzen

docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-2-releasedRelease NotesHersteller-Advisory
gitlab.com/gitlab-org/gitlab/-/work_items/630686Link defekt
hackerone.com/reports/4055749Permissions Required
hackerone.com/reports/4058589Permissions Required
cisa.gov/known-exploited-vulnerabilities-catalogUS-Behörde
github.com/rapid7/metasploit-framework/pull/22017
ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves

Quellen

Daten aus der NVD (NIST) und dem KEV-Katalog der CISA, abgerufen am 1. November 2026. Diese Seite nutzt Daten der NVD-API, ist aber weder von der NVD gebilligt noch zertifiziert. Alle Angaben ohne Gewähr.

Eintrag in der NVD ↗Eintrag bei CVE.org ↗KEV-Katalog der CISA ↗

Welche Software-Versionen gibt Ihre Website nach außen preis? Der kostenlose Security-Check prüft es.

Kostenlos prüfen