Zpětná vazba k reportu

Autentizovanému vzdálenému útočníkovi je v koncovém bodu Kubernetes proxy v GitLab CE/EE za určitých podmínek umožněno vykonat útok XSS [1].

Zranitelnost se nachází v produktech:

• *:GitLab Community Edition;>=15.10,<17.7.6;>=17.8,<17.8.4;>=17.9,<17.9.1;
• *:GitLab Enterprise Edition;>=15.10,<17.7.6;>=17.8,<17.8.4;>=17.9,<17.9.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Více informací:

• CVE-2025-0475 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 2. 2025.

Autentizovanému vzdálenému útočníkovi je v Maven Dependency Proxy v GitLab EE za určitých podmínek umožněno vykonat útok XSS [1].

Zranitelnost se nachází v produktu:

• *:GitLab Enterprise Edition;>=16.6,<17.7.6;>=17.8,<17.8.4;>=17.9,<17.9.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N

Více informací:

• CVE-2025-0555 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 2. 2025.

Autentizovanému vzdálenému útočníkovi je v GitLab CE/EE za určitých podmínek umožněno vykonat útok XSS [1].

Zranitelnost se nachází v produktech:

• *:GitLab Community Edition;>=16.6,<17.7.6;>=17.8,<17.8.4;>=17.9,<17.9.1;
• *:GitLab Enterprise Edition;>=16.6,<17.7.6;>=17.8,<17.8.4;>=17.9,<17.9.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Více informací:

• CVE-2024-8186 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 2. 2025.

Autentizovanému vzdálenému útočníkovi s rolí Guest je kvůli nedostatečné validaci oprávnění v GitLab EE umožněno neoprávněně číst Security Policy YAML [1].

Zranitelnost se nachází v produktu:

• *:GitLab Enterprise Edition;>=16.2,<17.7.6;>=17.8,<17.8.4;>=17.9,<17.9.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N

Více informací:

• CVE-2024-10925 na cve.org, NVD
• CWE-285: Improper Authorization na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 2. 2025.

Autentizovanému vzdálenému útočníkovi s rolí Planner je kvůli nedostatečné validaci oprávnění v GitLab EE umožněno neoprávněně číst potenciálně citlivá analytická data code review v soukromých projektech [1].

Zranitelnost se nachází v produktu:

• *:GitLab Enterprise Edition;>=17.7,<17.7.6;>=17.8,<17.8.4;>=17.9,<17.9.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Více informací:

• CVE-2025-0307 na cve.org, NVD
• CWE-285: Improper Authorization na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 2. 2025.