CVE-2026-2900GitLab EE 存在一个安全漏洞，影响从 16.10 到 18.11.3 之前的多个版本。该漏洞是由于在启用实例级批准规则编辑预防功能时，系统缺少必要的授权检查导致的。拥有 Maintainer（维护者）权限的经过身份验证的用户，可以利用此漏洞绕过限制，修改或删除项目的批准规则。这可能导致项目流程控制失效，尽管 CVSS 评分较低，但在高权限环境下仍需引起重视。
该漏洞属于访问控制缺失问题。在 GitLab EE 的实例配置中，管理员可以启用“实例级批准规则编辑预防”，以限制特定用户对批准规则的更改。然而，在受影响的版本中，后端 API 在处理项目批准规则的修改或删除请求时，未正确验证用户权限。当攻击者获取到 Maintainer 权限账号后，可以通过发送特制的 HTTP 请求（如 PUT 或 DELETE 请求）到相关 API 端点，直接修改或删除项目级别的批准规则。由于缺少授权校验，系统错误地允许了本应被阻止的操作。攻击者可借此破坏代码合并的审批流程，将未经充分审查的代码合并到主分支。