GitLab CVE-2026-85706: Bir HTTP İsteği, Kimlik Doğrulaması Yok, Tam Dosya Okuma – 24 Saat İçinde İstismar Edildi

CVE-2026-85706, 10.0 CVSS puanına sahip bir GitLab path traversal zafiyeti, açıklanmasından 24 saat içinde aktif olarak istismar edildi. GitLab, 10 Eylül 2026'da CVE-2026-85706'yı (CVSS puanı 10.0) açıkladı, bu bir depo taahhütleri API'sindeki path traversal zafiyetidir. CVE-2026-85706, GitLab'ın depo taahhütleri API'sini etkiler ve saldırganların görmemesi gereken dosyalara erişimine izin verebilir. Oluşturulmuş bir istek, SSH anahtarları, veritabanı kimlik bilgileri, dağıtım tokenları, CI/CD değişkenleri ve diğer duyarlı yapılandırma verilerini ortaya çıkarabilir. 11 Eylül'e gelindiğinde, aktif sorgulama ve istismar girişimleri zaten başlamıştı. CISA, bu arada ilgili bilgileri listesine ekledi.