Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] GitLab CE/EE opravuje 7 zranitelností
GitLab ve verzích 18.7.1, 18.6.3 a 18.5.5 opravuje 7 zranitelností v produktech GitLab Community Edition (CE) a Enterprise Edition (EE) [1]. Nejzávažnější zranitelnosti jsou uvedeny níže.
Autentizovanému vzdálenému útočníkovi je umožněno provést stored XSS útok v prostředí Flavored Markdown [1].
Zranitelnost se nachází v produktu:
- GitLab; >=18.2.2, <18.5.5; >=18.6, <18.6.3; >=18.7, <18.7.1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
Více informací:
- CVE-2025-9222 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 7. 1. 2026.
Autentizovanému vzdálenému útočníkovi je pomocí sociálního inženýrství umožněno provést XSS útok v prostředí Web IDE [1].
Zranitelnost se nachází v produktu:
- GitLab; >=18.6, <18.6.3; >=18.7, <18.7.1;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N
Více informací:
- CVE-2025-13761 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 7. 1. 2026.
Autentizovanému vzdálenému útočníkovi je zasíláním speciálně vytvořených odpovědí na externí API volání ve funkcionalitě pro importování umožněno provést DoS útok [1].
Zranitelnost se nachází v produktu:
- GitLab; >=8.3, <18.5.5; >=18.6, <18.6.3; >=18.7, <18.7.1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
Více informací:
- CVE-2025-10569 na cve.org, NVD
- CWE-20: Improper Input Validation na cwe.mitre.org
Zranitelnost byla veřejně oznámena 7. 1. 2026.
Za CESNET, z.s.p.o. Martin Krajči dne 8. 1. 2026.