Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] GitLab CE/EE opravuje 5 zranitelností
GitLab verzemi 17.11.1, 17.10.5 a 17.9.7 opravuje 5 zranitelností v produktu GitLab Community Edition (CE) a Enterprise Edition (EE).
Autentizovaný vzdálený útočník může provést XSS útok [1].
Zranitelnost se nachází v produktu:
- GitLab; >=16.6, <17.9.7; >=17.10, <17.10.5; >=17.11, <17.11.1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
Více informací:
- CVE-2025-1763 na cve.org, NVD
- CVE-2025-2443 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 23. 4. 2025.
Autentizovaný vzdálený útočník může omezeným způsobem sledovat prohlížení webů oběti, což může potenciálně vést k převzetí účtu [1].
Zranitelnost se nachází v produktu:
- GitLab; >=16.6, <17.9.7; >=17.10, <17.10.5; >=17.11, <17.11.1;
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N
Více informací:
- CVE-2025-1908 na cve.org, NVD
- CWE-644: Improper Neutralization of HTTP Headers for Scripting Syntax na cwe.mitre.org
Zranitelnost byla veřejně oznámena 23. 4. 2025.
Autentizovaný vzdálený útočník může provést DoS útok [1].
Zranitelnost se nachází v produktu:
- GitLab; >=16.7, <17.9.7; >=17.10, <17.10.5; >=17.11, <17.11.1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2025-0639 na cve.org, NVD
- CWE-400: Resource exhaustion na cwe.mitre.org
Zranitelnost byla veřejně oznámena 23. 4. 2025.
Autentizovaný vzdálený útočník může neoprávněně zobrazovat informace s omezeným přístupem [1].
Zranitelnost se nachází v produktu:
- GitLab; >=17.7, <17.9.7; >=17.10, <17.10.5; >=17.11, <17.11.1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Více informací:
- CVE-2024-12244 na cve.org, NVD
- CWE-284: Improper Access Control na cwe.mitre.org
Zranitelnost byla veřejně oznámena 23. 4. 2025.
Za CESNET, z.s.p.o. Martin Krajči dne 24. 4. 2025.