Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] GitLab CE/EE opravuje 15 zranitelností
GitLab ve verzích 18.8.4, 18.7.4 a 18.6.6 opravuje 15 zranitelností v produktech GitLab Community Edition (CE) a Enterprise Edition (EE) [1]. Nejzávažnější zranitelnosti jsou uvedeny níže.
Neautentizovanému vzdálenému útočníkovi je umožněno neoprávněně přistupovat do privátních repozitářů pomocí ukradeného autentizačního tokenu [1].
Zranitelnost se nachází v produktu:
- GitLab; >=18.8.0, <18.8.4; >=18.7.0, <18.7.4; >=18.2.0, <18.6.6;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N
Více informací:
- CVE-2025-7659 na cve.org, NVD
- CWE-346: Origin Validation Error na cwe.mitre.org
Zranitelnost byla veřejně oznámena 10. 2. 2026.
Neautentizovanému vzdálenému útočníkovi je umožněno provést DoS útok opakovaným zasíláním GrapQL dotazů [1].
Zranitelnost se nachází v produktu:
- GitLab; >=18.8.0, <18.8.4; >=18.7.0, <18.7.4; >=10.8.0, <18.6.6;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2025-8099 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zranitelnost byla veřejně oznámena 10. 2. 2026.
Autentizovanému vzdálenému útočníkovi je za určitých okolností umožněno provést XSS útok ve funkcionalitě Code Flow v detailu zranitelnosti [1].
Zranitelnost se nachází v produktu:
- GitLab; >=18.8.0, <18.8.4; >=18.7.0, <18.7.4; >=17.1.0, <18.6.6;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
Více informací:
- CVE-2025-14560 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 10. 2. 2026.
Za CESNET, z.s.p.o. Martin Krajči dne 12. 2. 2026.