| 1.1, Аноним (1), 22:47, 12/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +6 +/– | |
> неаутентифицированный пользователь через использование специально оформленного регулярного выражения ... уровень опасности 10 из 10
Блеск! Это вам не приставки ломать png-шкой!
| | |
| |
| 2.6, Аноним (6), 00:38, 13/10/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
Без ИИ так бы и не узнали про все уязвимости. ИИ показать то что скрыто, скандалы, интриги, расследования. Все совершенно случайные недокументированные возможности станут явью.
| | |
| |
| 3.13, Аноним (13), 10:09, 13/10/2026 [^] [^^] [^^^] [ответить]
| +4 +/– |
Ты скоро без ИИ даже писать окончательно разучишься без ошибок, а потом и читать
| | |
|
|
| 1.2, penetrator (?), 23:54, 12/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +3 +/– |
> неаутентифицированный пользователь
> выражения в конфигурации CI/CD.
что-то не вяжется
CI/CD конфиг привязывается к проекту, его не вкомитить, если ты не имеешь прав на запись в репу, т.е. как минимум должен быть аккаунт
| | |
| |
| 2.4, CY (?), 00:25, 13/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
Наличие аккаунта упоминается в самой новости...
| | |
| |
| 3.7, пох.. (?), 01:22, 13/10/2026 [^] [^^] [^^^] [ответить]
| +4 +/– | |
GitLab has remediated an issue that, under certain conditions, could have allowed an unauthenticated user to execute arbitrary code on the GitLab server via a specially crafted regular expression in a CI/CD configuration, due to insufficient regular expression validation.
нет тут ничего про акаунты.
И 10/10 означает rce от неаутентифицированного юзера.
возможно, речь о том что можно как-то воспользоваться _чужим_ ci/cd с кривыми настройками?
| | |
|
| 2.22, пох.. (?), 10:36, 15/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
poc.py exploits CVE-2026-97229 through GitLab's public CI lint endpoint. An attacker with permission to push to a public project supplies a CI regular expression and a specially named path. After that setup, a request without credentials executes the selected command as the GitLab git account.
расходимся, не на что тут, действительно, смотреть.
| | |
| |
| 3.24, penetrator (?), 09:34, 16/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
> poc.py exploits CVE-2026-97229 through GitLab's public CI lint endpoint. An attacker with
> permission to push to a public project supplies a CI regular
> expression and a specially named path. After that setup, a request
> without credentials executes the selected command as the GitLab git account.
> расходимся, не на что тут, действительно, смотреть.
это скорее опасно для самого gitlab.com, доступом к их серверам
а на селф-хостед публичные проекты редки, еще реже в них разрешают заливать код (разрешив свободную регистрацию аккаунта)
в таком случае конечно можно дрыхнуть спокойно )))
| | |
| |
| 4.25, пох.. (?), 10:14, 16/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Похоже даже не просто заливать код, а доступ к CI пайплайнам. Не каждая публичная поделка такое разрешит. (то есть на самом деле надо совсем уж свихнуться чтоб такое разрешить тем неведомым васянам и не за деньги, и еще и ресурсы на запуск чужих котов надо иметь, а не просто свалку гитов)
| | |
|
|
|
| |
| 2.11, User (??), 08:20, 13/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
Нееее... так тебе никто не поверит.
"Ивил рашшунз дид ит!" - учись, пока мы живы!
| | |
|
| 1.8, Аноним (8), 06:02, 13/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
Переходите на СПО решения, говорили они.
У нас есть тысяча глаз, не то что у этих проприетарщиков, говорили они.
Бгггг)
| | |
| |
| 2.10, сценарист (?), 07:36, 13/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> Переходите на СПО решения
они-же вроде не СПО, частично код закрыт и лицензия не GPL тоже. и думаю они говорили ровно противоположное - покупайте у нас.
| | |
| 2.12, Sm0ke85 (ok), 08:23, 13/10/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
 >Переходите на СПО решения, говорили они.
>У нас есть тысяча глаз, не то что у этих проприетарщиков, говорили они.
>Бгггг)
И...? где тебя обманули...? Проприетарь еще хуже, просто ты об этом вот так сразу не услышишь и не увидешь, а будет молчаливый фикс безопасности...
| | |
| |
| 3.14, penetrator (?), 10:23, 13/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
>>Переходите на СПО решения, говорили они.
>>У нас есть тысяча глаз, не то что у этих проприетарщиков, говорили они.
>>Бгггг)
> И...? где тебя обманули...? Проприетарь еще хуже, просто ты об этом вот
> так сразу не услышишь и не увидешь, а будет молчаливый фикс
> безопасности...
это если будет, скорость поиска и фикса там поменьше...
| | |
| 3.15, X86 (ok), 11:14, 13/10/2026 [^] [^^] [^^^] [ответить]
| +2 +/– |
 современная проблема СПО в том, что теперь уязвимости видят "сотни тысяч глаз" (ИИ-агентов), выявляют их, могут сразу делать эксплойты, а владельцы закрытого кода могут спокойно сами проверять свой софт теми же моделями и устранять уязвимости до их появления в открытом доступе
| | |
| |
| 4.17, Аноним (16), 11:45, 13/10/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
получается "сотни тысяч глаз" хороши только если это какие надо "сотни тысяч глаз", а когда все кто попало то не очень, т.е. концепция была изначально с изъяном и как только "сотни тысяч глаз" стали работать, изъян проявил себя, получается что проприетарщики правы, вот это поворот.
| | |
| |
| 5.19, Аноним (19), 18:06, 13/10/2026 [^] [^^] [^^^] [ответить]
| –1 +/– | |
>проприетарщики правы
Хитрил и наматывал круги чтобы высрать вот это? Слабый вброс.
| | |
|
| 4.23, Sm0ke85 (ok), 07:10, 16/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
>современная проблема СПО в том, что теперь уязвимости видят "сотни тысяч глаз" (ИИ-агентов), выявляют их, могут сразу делать эксплойты, а владельцы закрытого кода могут спокойно сами проверять свой софт теми же моделями и устранять уязвимости до их появления в открытом доступе
Я б это даже назвал "полномасштабная война против СПО", т.к. очевидно, что фиксы уязвимостей тоже будут приводить зачастую к уязвимостям...
| | |
|
|
|
| 1.21, анон (?), 07:29, 14/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
они уже писали, но в итоге на gitlab уязвимость не подтвердилась, т.к. вместо аллокатора libc используется jemalloc в либе. типа контейнер с ruby если запустишь - уязвимость есть, а сам гитлаб -нету. но это про парунедельной давности, в общем похоже на хайп по продвижению гитлаба, ни одна из этих "уязвимостей" по факту не сработает.
job:
stage: test
script:
- echo "never reached"
rules:
- changes:
regexp: "a|{100001}"
| | |
|
