Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] GitLab CE/EE opravuje 4 zraniteľnosti
GitLab verziami 18.3.1, 18.2.5 a 18.1.5 opravuje 4 zraniteľnosti v produktoch GitLab Community Edition (CE) a Enterprise Edition (EE).
Autentizovanému vzdialenému útočníkovi je kvôli nedostatočnému obmedzeniu veľkosti odpovedí pri spracovaní zadaných URL umožnené vykonať DoS útok [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=8.15, <18.1.5; >=18.2, <18.2.5; >=18.3, <18.3.1
- GitLab Enterprise Edition; >=8.15, <18.1.5; >=18.2, <18.2.5; >=18.3, <18.3.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2025-3601 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 27. 8. 2025.
Neautentizovanému vzdialenému útočníkovi je kvôli nedostatočnej kontrole oprávnení v GraphQL API umožnený neoprávnený prístup k citlivým manuálnym CI/CD premenným [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=14.1, <18.1.5; >=18.2, <18.2.5; >=18.3, <18.3.1
- GitLab Enterprise Edition; >=14.1, <18.1.5; >=18.2, <18.2.5; >=18.3, <18.3.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N
Viac informácií:
- CVE-2025-2246 na cve.org, NVD
- CWE-862: Missing Authorization na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 27. 8. 2025.
Neautentizovanému vzdialenému útočníkovi je prostredníctvom zasielania špeciálne vytvorených požiadaviek GraphQL umožnené vykonať DoS útok [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=14.1, <18.1.5; >=18.2, <18.2.5; >=18.3, <18.3.1
- GitLab Enterprise Edition; >=14.1, <18.1.5; >=18.2, <18.2.5; >=18.3, <18.3.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Viac informácií:
- CVE-2025-4225 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 27. 8. 2025.
Autentizovanému lokálnemu útočníkovi je prostredníctvom zneužitia nejednoznačnosti medzi vetvami a tagmi pri importe repozitára umožnené distribuovať škodlivý kód [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >18.1.5; >=18.2, <18.2.5; >=18.3, <18.3.1
- GitLab Enterprise Edition; >18.1.5; >=18.2, <18.2.5; >=18.3, <18.3.1
CVSS: CVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:C/C:N/I:H/A:N
Viac informácií:
- CVE-2025-5101 na cve.org, NVD
- CWE-94: Improper Control of Generation of Code ('Code Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 27. 8. 2025.
Za CESNET, z.s.p.o. Michaela Jarošová dňa 1. 9. 2025.