Path Traversal en GitLab

Se ha reportado una vulnerabilidad de categoría crítica en GitLab, la cual fue registrada con el identificador INCIBE-2026-627. Este fallo de seguridad tiene la capacidad de conceder acceso a un atacante para la lectura de archivos arbitrarios ubicados en el servidor afectado.

El problema técnico, catalogado bajo la referencia CVE-2026-85706, se origina por una aplicación inadecuada de restricciones en las rutas junto con la ausencia de controles de autenticación en la interfaz de programación de aplicaciones (API) destinada a las confirmaciones de repositorios. Debido a esto, cualquier atacante que carezca de autenticación puede explotar la debilidad para acceder a información de archivos en el servidor.

Las versiones de GitLab que se encuentran impactadas comprenden todas aquellas desde la 18.7 hasta la 19.1.8, desde la 19.2 hasta la 19.2.6, y desde la 19.3 hasta la 19.3.2. Para mitigar esta situación, la solución recomendada consiste en actualizar el software a las versiones 19.1.8, 19.2.6 y 19.3.2 según corresponda.