Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] GitLab CE/EE opravuje 5 zraniteľností

GitLab verziami 17.9.1, 17.8.4 a 17.7.6 opravuje 5 zraniteľností v produktoch GitLab Community Edition (CE) a Enterprise Edition (EE) [1].

GitLab CE/EE - XSS (CVE-2025-0475)
CVSS 8.7 (High)

Autentizovanému vzdialenému útočníkovi je v koncovom bode Kubernetes proxy v GitLab CE/EE za určitých podmienok umožnené vykonať útok XSS [1].

Zraniteľnosť sa nachádza v produktoch:

  • *:GitLab Community Edition;>=15.10,<17.7.6;>=17.8,<17.8.4;>=17.9,<17.9.1;
  • *:GitLab Enterprise Edition;>=15.10,<17.7.6;>=17.8,<17.8.4;>=17.9,<17.9.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Viac informácií:

  • CVE-2025-0475 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 2. 2025.

GitLab EE - XSS (CVE-2025-0555)
CVSS 7.7 (High)

Autentizovanému vzdialenému útočníkovi je v Maven Dependency Proxy v GitLab EE za určitých podmienok umožnené vykonať útok XSS [1].

Zraniteľnosť sa nachádza v produkte:

  • *:GitLab Enterprise Edition;>=16.6,<17.7.6;>=17.8,<17.8.4;>=17.9,<17.9.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N

Viac informácií:

  • CVE-2025-0555 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 2. 2025.

GitLab CE/EE - XSS (CVE-2024-8186)
CVSS 5.4 (Medium)

Autentizovanému vzdialenému útočníkovi je v GitLab CE/EE za určitých podmienok umožnené vykonať útok XSS [1].

Zraniteľnosť sa nachádza v produktoch:

  • *:GitLab Community Edition;>=16.6,<17.7.6;>=17.8,<17.8.4;>=17.9,<17.9.1;
  • *:GitLab Enterprise Edition;>=16.6,<17.7.6;>=17.8,<17.8.4;>=17.9,<17.9.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Viac informácií:

  • CVE-2024-8186 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 2. 2025.

GitLab EE - improper authorization (CVE-2024-10925)
CVSS 5.3 (Medium)

Autentizovanému vzdialenému útočníkovi s rolou Guest je vďaka nedostatočnej validácii oprávnení v GitLab EE umožnené neoprávnene čítať Security Policy YAML [1].

Zraniteľnosť sa nachádza v produkte:

  • *:GitLab Enterprise Edition;>=16.2,<17.7.6;>=17.8,<17.8.4;>=17.9,<17.9.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 26. 2. 2025.

GitLab EE - improper authorization (CVE-2025-0307)
CVSS 4.3 (Medium)

Autentizovanému vzdialenému útočníkovi s rolou Planner je vďaka nedostatočnej validácii oprávnení v GitLab EE umožnené neoprávnene čítať potenciálne citlivé analytické údaje code review v súkromných projektoch [1].

Zraniteľnosť sa nachádza v produkte:

  • *:GitLab Enterprise Edition;>=17.7,<17.7.6;>=17.8,<17.8.4;>=17.9,<17.9.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 26. 2. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 27. 2. 2025.

CESNET, z.s.p.o. Logo