Path Traversal en GitLab

Se ha re­por­ta­do una vul­ne­ra­bi­li­dad de ca­te­go­ría crí­ti­ca en GitLab, la cual fue re­gis­tra­da con el iden­ti­fi­ca­dor INCIBE-2026-627. Este fallo de se­gu­ri­dad tiene la ca­pa­ci­dad de con­ce­der ac­ce­so a un ata­can­te para la lec­tu­ra de ar­chi­vos ar­bi­tra­rios ubi­ca­dos en el ser­vi­dor afec­ta­do.

El pro­ble­ma téc­ni­co, ca­ta­lo­ga­do bajo la re­fe­ren­cia CVE-2026-85706, se ori­gi­na por una apli­ca­ción inade­cua­da de res­tric­cio­nes en las rutas junto con la au­sen­cia de con­tro­les de au­ten­ti­ca­ción en la in­ter­faz de pro­gra­ma­ción de apli­ca­cio­nes (API) des­ti­na­da a las con­fir­ma­cio­nes de re­po­si­to­rios. De­bi­do a esto, cual­quier ata­can­te que ca­rez­ca de au­ten­ti­ca­ción puede ex­plo­tar la de­bi­li­dad para ac­ce­der a in­for­ma­ción de ar­chi­vos en el ser­vi­dor.

Las ver­sio­nes de GitLab que se en­cuen­tran im­pac­ta­das com­pren­den todas aque­llas desde la 18.7 hasta la 19.1.8, desde la 19.2 hasta la 19.2.6, y desde la 19.3 hasta la 19.3.2. Para mi­ti­gar esta si­tua­ción, la so­lu­ción re­co­men­da­da con­sis­te en ac­tua­li­zar el soft­wa­re a las ver­sio­nes 19.1.8, 19.2.6 y 19.3.2 según co­rres­pon­da.