- Yama var
- Son 7 gün
- CWE-90
CVE-2026-15723
GitLab'da OmniAuth SAML ve LDAP otomatik bağlantısında hesap ele geçirme açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitLab
ÖzetTürkçe
GitLab CE/EE'nin 10.1 ile 19.3.6 öncesi, 19.4 ile 19.4.3 öncesi ve 19.5 ile 19.5.1 öncesi tüm sürümlerini etkileyen bir sorun giderilmiştir. OmniAuth SAML ve LDAP otomatik bağlantısı birlikte etkinleştirildiğinde, OmniAuth kimlik bağlantısı sırasında kullanılan LDAP e-posta arama yolundaki girdi temizleme yetersizliği nedeniyle, kimliği doğrulanmış bir kullanıcı, hedeflenen kullanıcının herhangi bir etkileşimi olmadan, mevcut LDAP destekli bir hesabı ele geçirebilirdi. Bu zafiyet, LDAP sorgusunda kullanılan özel karakterlerin uygun şekilde etkisizleştirilmemesinden (LDAP enjeksiyonu) kaynaklanmaktadır. Giderme için sürüm 19.3.6, 19.4.3, 19.5.1 veya üzerine yükseltme yapılması önerilir.
Kaynaktaki açıklama (İngilizce)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 10.1 before 19.3.6, 19.4 before 19.4.3, and 19.5 before 19.5.1 that, when OmniAuth SAML and LDAP auto-linking were both enabled, an authenticated user could have taken over an existing LDAP-backed account without any interaction from the targeted user, due to improper input sanitization in the LDAP email lookup path used during OmniAuth identity linking.
Üreticinin çözüm notu (İngilizce)
Upgrade to versions 19.3.6, 19.4.3, 19.5.1 or above.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| GitLab | ≥ 10.1, < 19.3.6 | 19.3.6 |
| ≥ 19.4, < 19.4.3 | 19.4.3 | |
| ≥ 19.5, < 19.5.1 | 19.5.1 |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- hackerone.com/reports/3852192 İstismar kodu ya da analiz
- gitlab.com/gitlab-org/gitlab/-/work_items/605977 Diğer
- docs.gitlab.com/…s/patches/patch-release-gitlab-19-5-1-released Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.