[TLP:CLEAR] GitLab opravuje 24 zraniteľností
GitLab verziami 19.4.2, 19.3.4 a 19.2.8 opravuje 24 zraniteľností v produktoch GitLab Community Edition (CE) a Enterprise Edition (EE), z toho jednu kritickú. Najzávažnejšie z nich sú popísané nižšie, zvyšok nájdete na [1].
Neautentizovanému vzdialenému útočníkovi je v dôsledku nedostatočnej validácie regulárneho výrazu v konfigurácii CI/CD umožnené za určitých podmienok spustiť ľubovoľný kód na GitLab serveri [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition vo verziách (>=19.2 AND <19.2.8) OR (>=19.3 AND <19.3.4) OR (>=19.4 AND <19.4.2)
- GitLab Enterprise Edition vo verziách (>=19.2 AND <19.2.8) OR (>=19.3 AND <19.3.4) OR (>=19.4 AND <19.4.2)
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
Autentizovanému vzdialenému útočníkovi s nízkymi oprávneniami je v dôsledku nedostatočného ošetrenia HTML atribútov pri farebnom zobrazovaní syntaxe umožnené prostredníctvom špeciálne vytvoreného repozitára spustiť ľubovoľný JavaScript v prehliadači iného používateľa [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition vo verziách (>=19.1 AND <19.2.8) OR (>=19.3 AND <19.3.4) OR (>=19.4 AND <19.4.2)
- GitLab Enterprise Edition vo verziách (>=19.1 AND <19.2.8) OR (>=19.3 AND <19.3.4) OR (>=19.4 AND <19.4.2)
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
Viac informácií:
Autentizovanému vzdialenému útočníkovi s oprávneniami roly Developer je v dôsledku nedostatočnej kontroly oprávnení umožnené spúšťať CI/CD pipeline na chránených vetvách [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition vo verziách (>=18.7 AND <19.2.8) OR (>=19.3 AND <19.3.4) OR (>=19.4 AND <19.4.2)
- GitLab Enterprise Edition vo verziách (>=18.7 AND <19.2.8) OR (>=19.3 AND <19.3.4) OR (>=19.4 AND <19.4.2)
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:N
Viac informácií:
Za CESNET-CERTS Henrieta Paločková dňa 12. 10. 2026.
