CVE-2026-110264
CVSS 10 CRITICAL: an issue has been discovered in GitLab CE/EE affecting all versions from 7.0 before 18.11.13, 19.0 before 19.0.10…
Vulnerabilità ed exploit
Ruby ha corretto tre bug nel motore Onigmo con le versioni 4.0.9, 3.4.12 e 3.3.13. Le correzioni chiariscono che il problema emerso in GitLab può riguardare qualsiasi applicazione Ruby che compila pattern forniti da utenti.
Un pattern costruito ad arte può corrompere la memoria di Ruby mentre viene compilato: il rischio nasce dall’elaborazione di una regex non fidata, non dal confronto di testo con regole scritte dagli sviluppatori. Le applicazioni che usano solo pattern propri restano fuori dal perimetro; timeout e limiti alla lunghezza del pattern non sono difese affidabili.
Ruby 3.2 e le versioni precedenti non hanno una correzione disponibile. Per i servizi che trasformano input degli utenti in regex, il confine dell’esposizione dipende quindi dal comportamento dell’applicazione, non dal fatto che usi GitLab.
9 fonti · 23 ott
CVSS 10 CRITICAL: an issue has been discovered in GitLab CE/EE affecting all versions from 7.0 before 18.11.13, 19.0 before 19.0.10…
The Hacker News
Ruby Fixes Three Regex Engine Bugs Responsible for Four Critical GitLab RCE Flaws
Ruby patched three Onigmo regex bugs that enabled code execution in GitLab when it compiled attacker-controlled patterns.
originaleCSO Online
GitLab critical patches include one for a bug that allows code execution by unauthenticated users
The vendor strongly recommends that customers upgrade to the patched releases as soon as possible.
originaleThe Register Security
Max-severity GitLab bug allows remote code execution over 12 years of releases
Vendor 'strongly recommends' upgrading to a fixed version 'as soon as possible'
originalePart of the PlainSec briefing for 2026-10-22
Every edition of this story: Il rischio delle regex Ruby supera i confini di GitLab