Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] GitLab CE/EE opravuje 10 zraniteľností
GitLab vo verziách 18.4.1, 18.3.3 a 18.2.7 opravuje 10 zraniteľností v produktoch GitLab Community Edition (CE) a Enterprise Edition (EE). Najzávažnejšie sú popísané nižšie, úplný zoznam nájdete na [1].
Autentifikovanému vzdialenému útočníkovi je v GitLab CE/EE za určitých podmienok umožnené vykonať XSS útok [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=14.10, <18.2.7; >=18.3, <18.3.3; >=18.4, <18.4.1
- GitLab Enterprise Edition; >=14.10, <18.2.7; >=18.3, <18.3.3; >=18.4, <18.4.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
Viac informácií:
- CVE-2025-9642 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 25. 9. 2025.
Neautentifikovanému vzdialenému útočníkovi je v GitLab CE/EE prostredníctvom zaslania špeciálne vytvorených JSON súborov umožnené vykonať DoS útok [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; <18.2.7; >=18.3, <18.3.3; >=18.4, <18.4.1
- GitLab Enterprise Edition; <18.2.7; >=18.3, <18.3.3; >=18.4, <18.4.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2025-10858 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 25. 9. 2025.
Neautentifikovanému vzdialenému útočníkovi je v GitLab CE/EE umožnené obísť limity zložitosti dopytov a vykonať DoS útok [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=11.10, <18.2.7; >=18.3, <18.3.3; >=18.4, <18.4.1
- GitLab Enterprise Edition; >=11.10, <18.2.7; >=18.3, <18.3.3; >=18.4, <18.4.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2025-8014 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 25. 9. 2025.
Autentifikovanému vzdialenému útočníkovi s nízkymi oprávneniami je v GitLab CE/EE umožnené pristupovať k citlivým informáciám uloženým v konfiguráciách virtuálneho registra [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=14.10, <18.2.7; >=18.3, <18.3.3; >=18.4, <18.4.1
- GitLab Enterprise Edition; >=14.10, <18.2.7; >=18.3, <18.3.3; >=18.4, <18.4.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Viac informácií:
- CVE-2025-9958 na cve.org, NVD
- CWE-201: Insertion of Sensitive Information Into Sent Data na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 25. 9. 2025.
Autentifikovanému vzdialenému útočníkovi s oprávneniami správy skupín je v GitLab EE umožnené zvýšiť si oprávnenia a získať prístup k ďalším funkciám systému [1].
Zraniteľnosť sa nachádza v produkte:
- GitLab EE; >=16.6, <18.2.7; >=18.3, <18.3.3; >=18.4, <18.4.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
Viac informácií:
- CVE-2025-7691 na cve.org, NVD
- CWE-267: Privilege Defined With Unsafe Actions na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 25. 9. 2025.
Autentifikovanému vzdialenému útočníkovi je v GitLab CE/EE prostredníctvom konkrétnych GraphQL dopytov umožnené vykonať DoS útok [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=17.2, <18.2.7; >=18.3, <18.3.3; >=18.4, <18.4.1
- GitLab Enterprise Edition; >=17.2, <18.2.7; >=18.3, <18.3.3; >=18.4, <18.4.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L
Viac informácií:
- CVE-2025-11042 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 25. 9. 2025.
Za CESNET, z.s.p.o. Michaela Jarošová dňa 30. 9. 2025.