Spätná väzba k reportu

Autentizovanému vzdialenému útočníkovi je v produkte GitLab CE/EE umožnené vykonať XSS útok [1].

Zraniteľnosť sa nachádza v produktoch:

• *:GitLab Community Edition; >=13.3, <17.6.5; >=17.7, <17.7.4; >=17.8, <17.8.2
• *:GitLab Enterprise Edition; >=13.3, <17.6.5; >=17.7, <17.7.4; >=17.8, <17.8.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Viac informácií:

• CVE-2025-0376 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 2. 2025.

Autentizovanému vzdialenému útočníkovi je v produkte GitLab CE/EE kvôli neobmedzenému vytváraniu symbolov prostredníctvom parametra scopes v osobnom prístupovom tokene umožnené vykonať DoS útok [1].

Zraniteľnosť sa nachádza v produktoch:

• *:GitLab Community Edition; >=14.1, <17.6.5; >=17.7, <17.7.4; >=17.8, <17.8.2
• *:GitLab Enterprise Edition; >=14.1, <17.6.5; >=17.7, <17.7.4; >=17.8, <17.8.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2024-12379 na cve.org, NVD
• CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 2. 2025.

Autentizovanému vzdialenému útočníkovi je v produkte GitLab EE pomocou podvrhnutého príkazu umožnené získať prístup k súkromnému obsahu [1].

Zraniteľnosť sa nachádza v produkte:

• *:GitLab Enterprise Edition; >=16.0, <17.6.5; >=17.7, <17.7.4; >=17.8, <17.8.2

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:N

Viac informácií:

• CVE-2024-3303 na cve.org, NVD
• CWE-1427: Improper Neutralization of Input Used for LLM Prompting na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 2. 2025.

Autentizovanému vzdialenému útočníkovi je v produkte GitLab EE umožnené zobraziť obsah repozitára aj bez zodpovedajúceho oprávnenia [1].

Zraniteľnosť sa nachádza v produkte:

• *:GitLab Enterprise Edition; >=15.7, <17.6.5; >=17.7, <17.7.4; >=17.8, <17.8.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N

Viac informácií:

• CVE-2025-1042 na cve.org, NVD
• CWE-552: Files or Directories Accessible to External Parties na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 2. 2025.

Autentizovanému vzdialenému útočníkovi je v produkte GitLab CE/EE umožnené odoslať upravenú požiadavku na backendový server a odhaliť tak citlivé informácie [1].

Zraniteľnosť sa nachádza v produktoch:

• *:GitLab Community Edition; >=8.3, <17.6.5; >=17.7, <17.7.4; >=17.8, <17.8.2
• *:GitLab Enterprise Edition; >=8.3, <17.6.5; >=17.7, <17.7.4; >=17.8, <17.8.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Viac informácií:

• CVE-2025-1212 na cve.org, NVD
• CWE-497: Exposure of Sensitive System Information to an Unauthorized Control Sphere na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 2. 2025.

Autentizovanému vzdialenému útočníkovi je v produkte GitLab EE prostredníctvom odosielania špeciálnych požiadaviek umožnené vykonať SSRF útok [1].

Zraniteľnosť sa nachádza v produktoch:

• *:GitLab Community Edition; >=8.3, <17.6.5; >=17.7, <17.7.4; >=17.8, <17.8.2
• GitLab Enterprise Edition; >=8.3, <17.6.5; >=17.7, <17.7.4; >=17.8, <17.8.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Viac informácií:

• CVE-2024-9870 na cve.org, NVD
• CWE-441: Unintended Proxy or Intermediary ('Confused Deputy') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 2. 2025.

Autentizovanému vzdialenému útočníkovi je v produkte GitLab CE/EE umožnené vykonávať neoprávnené akcie s kritickými dátami projektu [1].

Zraniteľnosť sa nachádza v produktoch:

• *:GitLab Community Edition; >=17.7, <17.7.4; >=17.8, <17.8.2
• *:GitLab Enterprise Edition; >=17.7, <17.7.4; >=17.8, <17.8.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Viac informácií:

• CVE-2025-0516 na cve.org, NVD
• CWE-863: Incorrect Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 2. 2025.

Autentizovanému vzdialenému útočníkovi je v produkte GitLab CE/EE umožnené získať prístup k výsledkom streamovania v ActionCable pomocou dlhodobých pripojení, ktoré potenciálne umožňovali prístup aj po odvolaní osobných prístupových tokenov [1].

Zraniteľnosť sa nachádza v produktoch:

• *:GitLab Community Edition; >=16.11, <17.6.5; >=17.7, <17.7.4; >=17.8, <17.8.2
• *:GitLab Enterprise Edition; >=16.11, <17.6.5; >=17.7, <17.7.4; >=17.8, <17.8.2

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N

Viac informácií:

• CVE-2025-1198 na cve.org, NVD
• CWE-613: Insufficient Session Expiration na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 2. 2025.