GitLab npm 注册表路径穿越验证环境公开

有人公开了 CVE-2026-10053（GitLab npm 包注册表路径穿越）的可复现实验环境，用 Docker 同时启动 GitLab CE 19.2.1 与 19.2.2：前者允许已认证用户以 git 用户身份写入任意文件，后者拦截该写入。 据该实验说明，已认证用户（Developer 及以上可发布包；实验为方便搭建使用 root PAT）可向任意 git 可写路径写入攻击者控制的字节。受影响版本为 GitLab CE/EE 18.8 至 <19.0.6、19.1 至 <19.1.4、19.2 至 <19.2.2，修复版本为 19.0.6、19.1.4、19.2.2（commit 435cf863）。 该实验明确说明它不是独立的远程代码执行 PoC，不应被当作 RCE 引用。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。