MEDIUMCVE-2026-3160CVSS 5.8

CVE-2026-3160: Fuga de Datos en GitLab

Plataforma

gitlab

Componente

gitlab

Corregido en

18.11.3

La vulnerabilidad CVE-2026-3160 en GitLab CE/EE permite a un usuario autenticado acceder a issues de Jira que están fuera del alcance del proyecto configurado. Esta fuga de datos se produce debido a que un filtro de integración actúa únicamente como control de visualización, sin aplicar las restricciones de acceso definidas. La vulnerabilidad afecta a versiones desde 13.7 hasta 18.11.3, y ha sido resuelta en la versión 18.11.3. Se recomienda actualizar a la versión corregida lo antes posible.

Impacto y Escenarios de Ataque

El impacto principal de esta vulnerabilidad radica en la exposición de información sensible contenida en los issues de Jira. Un atacante podría acceder a detalles confidenciales sobre proyectos, tareas, errores, o cualquier otra información almacenada en Jira que no debería ser visible para el usuario autenticado dentro del contexto del proyecto GitLab. Esto podría resultar en la divulgación de secretos comerciales, información personal de usuarios, o datos relacionados con la seguridad de la infraestructura. Aunque la vulnerabilidad requiere autenticación, la posibilidad de acceso no autorizado a información sensible representa un riesgo significativo para la confidencialidad de los datos. No se ha reportado explotación activa, pero la naturaleza de la fuga de datos la convierte en un objetivo atractivo para actores maliciosos.

Contexto de Explotación

La vulnerabilidad CVE-2026-3160 fue publicada el 14 de mayo de 2026. Su severidad ha sido evaluada como MEDIA (CVSS 5.8). No se ha identificado como parte del KEV (Known Exploited Vulnerabilities) catalogado por CISA. No hay evidencia pública de campañas activas de explotación, pero la naturaleza de la fuga de datos la hace susceptible a ser explotada. Se recomienda monitorear las fuentes de inteligencia de amenazas para detectar cualquier actividad relacionada.

Inteligencia de Amenazas

Estado del Exploit

Prueba de ConceptoDesconocido
CISA KEVNO
Exposición en InternetAlta

CISA SSVC

Explotaciónnone
Automatizableyes
Impacto Técnicopartial

Vector CVSS

INTELIGENCIA DE AMENAZAS· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N5.8MEDIUMAttack VectorNetworkCómo el atacante alcanza el objetivoAttack ComplexityLowCondiciones necesarias para explotarPrivileges RequiredNoneNivel de autenticación requeridoUser InteractionNoneSi la víctima debe realizar una acciónScopeChangedImpacto más allá del componente afectadoConfidentialityLowRiesgo de exposición de datos sensiblesIntegrityNoneRiesgo de modificación no autorizada de datosAvailabilityNoneRiesgo de interrupción del servicionextguardhq.com · Puntuación Base CVSS v3.1
¿Qué significan estas métricas?
Attack Vector
Red — explotable remotamente por internet. Sin acceso físico ni local. Mayor superficie de ataque.
Attack Complexity
Baja — sin condiciones especiales. El atacante puede explotar de forma confiable sin configuraciones raras.
Privileges Required
Ninguno — sin autenticación. No se necesitan credenciales para explotar.
User Interaction
Ninguna — el ataque es automático y silencioso. La víctima no hace nada.
Scope
Cambiado — el ataque puede pivotar a otros sistemas más allá del componente vulnerable.
Confidentiality
Bajo — acceso parcial o indirecto a algunos datos.
Integrity
Ninguno — sin impacto en integridad.
Availability
Ninguno — sin impacto en disponibilidad.

Software Afectado

Componentegitlab
ProveedorGitLab
Versión mínima13.7.0
Versión máxima18.11.3
Corregido en18.11.3

Clasificación de Debilidad (CWE)

Cronología

  1. Reservado
  2. Publicada

Mitigación y Workarounds

La mitigación principal para CVE-2026-3160 es actualizar GitLab a la versión 18.11.3 o superior. Si la actualización inmediata no es posible debido a restricciones de compatibilidad o interrupciones del servicio, se recomienda revisar la configuración de la integración de Jira para limitar el acceso a los issues. Implementar controles de acceso más estrictos en Jira puede ayudar a reducir el impacto de la vulnerabilidad. Además, se recomienda monitorear los logs de GitLab y Jira en busca de actividad sospechosa que pueda indicar un intento de explotación. Después de la actualización, confirme que los usuarios solo pueden acceder a los issues de Jira dentro del alcance del proyecto configurado, revisando las políticas de acceso y los permisos de usuario.

Cómo corregirlotraduciendo…

Actualice GitLab a la versión 18.9.7 o superior, 18.10.6 o superior, o 18.11.3 o superior para mitigar la vulnerabilidad. Esta actualización corrige un problema de 'Confused Deputy' que permitía a usuarios autenticados acceder a información de Jira fuera del alcance del proyecto configurado.

Preguntas frecuentes

What is CVE-2026-3160 — fuga de datos en GitLab?

CVE-2026-3160 es una vulnerabilidad de fuga de datos en GitLab CE/EE que permite a usuarios autenticados acceder a issues de Jira fuera del alcance del proyecto configurado. Esto puede resultar en la exposición de información sensible.

Am I affected by CVE-2026-3160 in GitLab?

Si está utilizando GitLab CE/EE en versiones entre 13.7.0 y 18.11.3, es vulnerable a esta vulnerabilidad. Actualice a la versión 18.11.3 o superior para mitigar el riesgo.

How do I fix CVE-2026-3160 in GitLab?

La solución es actualizar GitLab a la versión 18.11.3 o superior. Si la actualización no es inmediata, revise la configuración de la integración de Jira para limitar el acceso.

Is CVE-2026-3160 being actively exploited?

Actualmente no hay evidencia pública de explotación activa, pero la naturaleza de la fuga de datos la hace susceptible a ser explotada. Se recomienda monitorear las fuentes de inteligencia de amenazas.

Where can I find the official GitLab advisory for CVE-2026-3160?

Consulte el sitio web de GitLab para obtener la información oficial y las notas de la versión: [https://about.gitlab.com/security/advisories/](https://about.gitlab.com/security/advisories/)

¿Tu proyecto está afectado?

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

liveescaneo gratuito

Pruébalo ahora — sin cuenta

Sube cualquier manifiesto (composer.lock, package-lock.json, lista de plugins WordPress…) o pega tu lista de componentes. Recibís un reporte de vulnerabilidades al instante. Subir un archivo es solo el primer paso: con una cuenta tenés monitoreo continuo, alertas en tu canal, multi-proyecto y reportes white-label.

Escaneo manualAlertas en Slack/emailMonitoreo continuoReportes white-label

Arrastra y suelta tu archivo de dependencias

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...