Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] GitLab CE/EE opravuje 7 zraniteľností

GitLab vo verziách 17.10.1, 17.9.3 a 17.8.6 opravuje 7 zraniteľností v produktoch GitLab Community Edition (CE) a Enterprise Edition (EE). Najzávažnejšie z nich sú popísané nižšie, ostatné zraniteľnosti nájdete na [1].

GitLab CE/EE - XSS (CVE-2025-2255)
CVSS 8.7 (High)

Autentizovanému vzdialenému útočníkovi je prostredníctvom niektorých chybových hlásení v požiadavkách na zlúčenie zmien (merge request) umožnené vykonať útok XSS [1].

Zraniteľnosť sa nachádza v produktoch:

  • *:GitLab Community Edition;>=13.5.0,<17.8.6;>=17.9,<17.9.3;>=17.10,<17.10.1;
  • *:GitLab Enterprise Edition;>=13.5.0,<17.8.6;>=17.9,<17.9.3;>=17.10,<17.10.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Viac informácií:

  • CVE-2025-2255 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 3. 2025.

GitLab CE/EE - XSS (CVE-2025-0811)
CVSS 8.7 (High)

Autentizovanému vzdialenému útočníkovi je v dôsledku nesprávneho vykresľovania určitých typov súborov umožnené vykonať útok XSS [1].

Zraniteľnosť sa nachádza v produktoch:

  • *:GitLab Community Edition;>=17.7,<17.8.6;>=17.9,<17.9.3;>=17.10,<17.10.1;
  • *:GitLab Enterprise Edition;>=17.7,<17.8.6;>=17.9,<17.9.3;>=17.10,<17.10.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Viac informácií:

  • CVE-2025-0811 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 26. 3. 2025.

GitLab CE/EE - neoprávnený prístup (CVE-2025-2242)
CVSS 7.5 (High)

Autentizovanému vzdialenému útočníkovi, ktorý bol predtým administrátorom inštancie a ktorého rola bola následne odobratá, je v dôsledku nesprávneho riadenia prístupu umožnené naďalej disponovať pôvodnými, zvýšenými oprávneniami ku skupinám a projektom [1].

Zraniteľnosť sa nachádza v produktoch:

  • *:GitLab Community Edition;>=17.4,<17.8.6;>=17.9,<17.9.3;>=17.10,<17.10.1;
  • *:GitLab Enterprise Edition;>=17.4,<17.8.6;>=17.9,<17.9.3;>=17.10,<17.10.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 26. 3. 2025.

GitLab CE/EE - neoprávnený prístup (CVE-2024-12619)
CVSS 5.2 (Medium)

Autentizovanému vzdialenému útočníkovi s rolou External User [2] je umožnené získať neoprávnený prístup k interným projektom [1].

Zraniteľnosť sa nachádza v produktoch:

  • *:GitLab Community Edition;>=16.0,<17.8.6;>=17.9,<17.9.3;>=17.10,<17.10.1;
  • *:GitLab Enterprise Edition;>=16.0,<17.8.6;>=17.9,<17.9.3;>=17.10,<17.10.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:L/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 26. 3. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 27. 3. 2025.

CESNET, z.s.p.o. Logo