Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Gitlab CE/EE opravuje 12 zranitelností - Test
GitLab vydává verze 18.2.2, 18.1.4 a 18.0.6 pro GitLab Community Edition (CE) a Enterprise Edition (EE), kterými opravuje 12 zranitelností. Nejzávažnější z nich jsou popsány níže, zbytek najdete na [1].
Autentizovaný vzdálený útočník může pomocí zranitelnosti v blob prohlížeči GitLabu CE/EE provést útok typu XSS [1].
Zranitelnost se nachází v produktech:
- GitLab Community Edition; >=14.2, <18.0.6, >=18.1, <18.1.4, >=18.2, <18.2.2
- GitLab Enterprise Edition; >=14.2, <18.0.6; >=18.1, <18.1.4; >=18.2, <18.2.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
Více informací:
- CVE-2025-7734 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 13. 8. 2025.
Autentizovanému vzdálenému útočníkovi bylo pomocí zranitelnosti v názvech pracovních položek „work item names“ v GitLab CE/EE umožněno vložit škodlivý HTML kód a převzít kontrolu nad účtem oběti [1].
Zranitelnost se nachází v produktech:
- GitLab Community Edition; >=18.1, <18.1.4, >=18.2, <18.2.2
- GitLab Enterprise Edition; >=18.1, <18.1.4, >=18.2, <18.2.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
Více informací:
- CVE-2025-6186 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 13. 8. 2025.
Autentizovanému vzdálenému útočníkovi bylo pomocí zranitelnosti v popisech štítků „scoped labels“ v GitLab CE/EE umožněno vložit škodlivý HTML kód a provést XSS útok [1].
Zranitelnost se nachází v produktech:
- GitLab Community Edition; >=18.2, <18.2.2
- GitLab Enterprise Edition; >=18.2, <18.2.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
Více informací:
- CVE-2025-7739 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 13. 8. 2025.
Autentizovaný vzdálený útočník s oprávněními maintainera může kvůli nesprávnému nastavení oprávnění v projektovém API v GitLab CE/EE manipulovat se sdílenými zdroji infrastruktury nad rámec svého přístupu a způsobit odepření služby pro CI/CD pipeline jiných uživatelů [1].
Zranitelnost se nachází v produktech:
- GitLab Community Edition; >=18.0, <18.0.6, >=18.1, <18.1.4, >=18.2, <18.2.2
- GitLab Enterprise Edition; >=18.0, <18.0.6, >=18.1, <18.1.4, >=18.2, <18.2.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H
Více informací:
- CVE-2025-8094 na cve.org, NVD
- CWE-284: Improper Access Control na cwe.mitre.org
Zranitelnost byla veřejně oznámena 13. 8. 2025.
Autentizovanému vzdálenému útočníkovi může být v důsledku chybného přiřazení oprávnění při operaci mazání issues v GitLab CE/EE umožněno mazat i důvěrné issues prostřednictvím pozvání uživatelů s určitou rolí [1].
Zranitelnost se nachází v produktech:
- GitLab Community Edition; >=17.7, <18.0.6; >=18.1, <18.1.4; >=18.2, <18.2.2
- GitLab Enterprise Edition; >=17.7, <18.0.6; >=18.1, <18.1.4; >=18.2, <18.2.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:L
Více informací:
- CVE-2024-12303 na cve.org, NVD
- CWE-266: Incorrect Privilege Assignment na cwe.mitre.org
Zranitelnost byla veřejně oznámena 13. 8. 2025.
Za CESNET, z.s.p.o. Henrieta Paločková dne 6. 11. 2025.