Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] GitLab CE/EE opravuje 12 zraniteľností
GitLab verziami 18.2.2, 18.1.4, 18.0.6 opravuje 12 zraniteľností v produktoch GitLab Community Edition (CE) a Enterprise Edition (EE). Najzávažnejšie z nich sú opísané nižšie, zvyšné zraniteľnosti nájdete na [1].
Autentizovanému vzdialenému útočníkovi je kvôli zraniteľnosti v prehliadači blobov v GitLab CE/EE umožnené vykonať XSS útok [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=14.2, <18.0.6; >=18.1, <18.1.4; >=18.2, <18.2.2
- GitLab Enterprise Edition; >=14.2, <18.0.6; >=18.1, <18.1.4; >=18.2, <18.2.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
Viac informácií:
- CVE-2025-7734 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 13. 8. 2025.
Autentizovanému vzdialenému útočníkovi je kvôli zraniteľnosti v popisoch štítkov (scoped label) v GitLab CE/EE umožnené vložiť škodlivý HTML kód a vykonať XSS útok [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=18.2, <18.2.2
- GitLab Enterprise Edition; >=18.2, <18.2.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
Viac informácií:
- CVE-2025-7739 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 13. 8. 2025.
Autentizovanému vzdialenému útočníkovi je kvôli zraniteľnosti v názvoch pracovných položiek (Workitem) v GitLab CE/EE umožnené vložiť škodlivý HTML kód a prevziať účet obete [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=18.1, <18.1.4; >=18.2, <18.2.2
- GitLab Enterprise Edition; >=18.1, <18.1.4; >=18.2, <18.2.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
Viac informácií:
- CVE-2025-6186 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 13. 8. 2025.
Autentizovanému vzdialenému útočníkovi s oprávnením maintainer je kvôli nesprávnemu nakladaniu s oprávneniami v projektovom API v GitLab CE/EE umožnené zneužiť zdieľané infraštruktúrne prostriedky nad rámec svojho prístupu a vyvolať tak odopretie služby CI/CD pipeline ostatných používateľov [1].
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H
Viac informácií:
- CVE-2025-8094 na cve.org, NVD
- CWE-284: Improper Access Control na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 13. 8. 2025.
Autentizovanému vzdialenému útočníkovi je kvôli chybnému priradeniu oprávnení v operácii mazania issues v GitLab CE/EE umožnené mazať aj dôverné issues prostredníctvom pozvania používateľov s určitou rolou [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=17.7, <18.0.6; >=18.1, <18.1.4; >=18.2, <18.2.2
- GitLab Enterprise Edition; >=17.7, <18.0.6; >=18.1, <18.1.4; >=18.2, <18.2.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:L
Viac informácií:
- CVE-2024-12303 na cve.org, NVD
- CWE-266: Incorrect Privilege Assignment na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 13. 8. 2025.
Autentizovanému vzdialenému útočníkovi je kvôli chybnej alokácii prostriedkov bez obmedzenia v názvoch release v GitLab CE/EE umožnené vyvolať stav odopretia služby [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=11.6, <18.0.6; >=18.1, <18.1.4; >=18.2, <18.2.2
- GitLab Enterprise Edition; >=11.6, <18.0.6; >=18.1, <18.1.4; >=18.2, <18.2.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2025-2614 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 13. 8. 2025.
Za CESNET, z.s.p.o. Michaela Jarošová dňa 19. 8. 2025.