Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] GitLab CE/EE opravuje 6 zraniteľností

GitLab verziami 18.2.1, 18.1.3 a 18.0.5 opravuje 6 zraniteľností v produktoch GitLab Community Edition (CE) a Enterprise Edition (EE). Najzávažnejšie z nich sú opísané nižšie, zvyšné zraniteľnosti nájdete na [1].

GitLab CE/EE - XSS (CVE-2025-4700)
CVSS 8.7 (High)

Autentizovanému vzdialenému útočníkovi je za určitých podmienok vďaka zraniteľnosti vo funkcii Kubernetes proxy v GitLab CE/EE umožnené vykonať útok XSS [1].

Zraniteľnosť sa nachádza v produktoch:

  • GitLab Community Edition; >=15.10, <18.0.5; >=18.1, <18.1.3; >=18.2, <18.2.1;
  • GitLab Enterprise Edition; >=15.10, <18.0.5; >=18.1, <18.1.3; >=18.2, <18.2.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Viac informácií:

  • CVE-2025-4700 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 23. 7. 2025.

GitLab CE/EE - XSS (CVE-2025-4439)
CVSS 7.7 (High)

Autentizovanému vzdialenému útočníkovi je na inštanciách GitLab CE/EE nasadených cez určité CDNs (Content Delivery Networks) umožnené vykonať útok XSS [1].

Zraniteľnosť sa nachádza v produktoch:

  • GitLab Community Edition; >=15.10, <18.0.5; >=18.1, <18.1.3; >=18.2, <18.2.1;
  • GitLab Enterprise Edition; >=15.10, <18.0.5; >=18.1, <18.1.3; >=18.2, <18.2.1;

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N

Viac informácií:

  • CVE-2025-4439 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 23. 7. 2025.

GitLab EE - unauthorized access (CVE-2025-4976)
CVSS 4.3 (Medium)

Autentizovanému vzdialenému útočníkovi je za určitých okolností v GitLab EE umožnené neoprávnene pristupovať k interným poznámkam v odpovediach GitLab Duo [1].

Zraniteľnosť sa nachádza v produkte:

  • GitLab Enterprise Edition; >=17.0, <18.0.5; >=18.1, <18.1.3; >=18.2, <18.2.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 23. 7. 2025.

GitLab CE/EE - sensitive information disclosure (CVE-2025-7001)
CVSS 4.3 (Medium)

Autentizovanému vzdialenému útočníkovi je cez API GitLab CE/EE umožnené neoprávnene pristupovať k určitým informáciám o 'resource_group' [1].

Zraniteľnosť sa nachádza v produktoch:

  • GitLab Community Edition; >=15.0, <18.0.5; >=18.1, <18.1.3; >=18.2, <18.2.1;
  • GitLab Enterprise Edition; >=15.0, <18.0.5; >=18.1, <18.1.3; >=18.2, <18.2.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 23. 7. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 24. 7. 2025.

CESNET, z.s.p.o. Logo