Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] GitLab CE/EE opravuje 9 zranitelností
GitLab verzemi 18.5.2, 18.4.4 a 18.3.6 opravuje 9 zranitelností v produktech GitLab Community Edition (CE) a Enterprise Edition (EE) [1]. Nejzávažnější zranitelnosti jsou uvedeny níže.
Autentizovanému vzdálenému útočníkovi je umožněno provést stored XSS útok ve funkcionalitě Kubernetes proxy [1].
Zranitelnost se nachází v produktu:
- GitLab; >=15.10, <18.3.6; >=18.4, <18.4.4; >=18.5, <18.5.2;
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N
Více informací:
- CVE-2025-11224 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 12. 11. 2025.
Autentizovanému vzdálenému útočníkovi je umožněno neoprávněně odstraňovat AI asistenty jiných uživatelů z balíku GitLab Duo [1].
Zranitelnost se nachází v produktu:
- GitLab; >=18.1, <18.3.6; >=18.4, <18.4.4; >=18.5, <18.5.2;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
Více informací:
- CVE-2025-11865 na cve.org, NVD
- CWE-863: Incorrect Authorization na cwe.mitre.org
Zranitelnost byla veřejně oznámena 12. 11. 2025.
Autentizovanému vzdálenému útočníkovi s blokovaným účtem je umožněno přistupovat k citlivým informacím prostřednictvím WebSocket spojení v rámci funkcionality GraphQL subscriptions [1].
Zranitelnost se nachází v produktu:
- GitLab; >=15.10, <18.3.6; >=18.4, <18.4.4; >=18.5, <18.5.2;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Více informací:
- CVE-2025-11865 na cve.org, NVD
- CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org
Zranitelnost byla veřejně oznámena 12. 11. 2025.
Za CESNET, z.s.p.o. Martin Krajči dne 13. 11. 2025.