Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] GitLab CE/EE opravuje 9 zranitelností
GitLab verzemi 18.9.1, 18.8.5 a 18.7.5 opravuje 9 zranitelností v produktech GitLab Community Edition (CE) a Enterprise Edition (EE) [1]. Nejzávažnější z nich jsou uvedeny níže.
Neautentizovanému vzdálenému útočníkovi je za určitých okolností umožněno provést XSS útok ve funkcionalitě Mermaid sandbox [1].
Zranitelnost se nachází v produktech:
- GitLab Community Edition; >=16.2.0, <18.7.5; >=18.8.0, <18.8.5; >=18.9.0, <18.9.1
- GitLab Enterprise Edition; >=16.2.0, <18.7.5; >=18.8.0, <18.8.5; >=18.9.0, <18.9.1
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N
Více informací:
- CVE-2026-0752 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 25. 2. 2026.
Neautentizovanému vzdálenému útočníkovi je za určitých okolností umožněno provést DoS útok ve funkcionalitě úložiště kontejnerových obrazů zasíláním speciálně upravených souborů [1].
Zranitelnost se nachází v produktech:
- GitLab Community Edition; >=12.2.0, <18.7.5; >=18.8.0, <18.8.5; >=18.9.0, <18.9.1
- GitLab Enterprise Edition; >=12.2.0, <18.7.5; >=18.8.0, <18.8.5; >=18.9.0, <18.9.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2025-14511 na cve.org, NVD
- CWE-1284: Improper Validation of Specified Quantity in Input na cwe.mitre.org
Zranitelnost byla veřejně oznámena 25. 2. 2026.
Neautentizovanému vzdálenému útočníkovi je zasíláním speciálně upravených požadavků na koncový bod událostí Jira umožněno provést DoS útok [1].
Zranitelnost se nachází v produktech:
- GitLab Community Edition; >=14.4.0, <18.7.5; >=18.8.0, <18.8.5; >=18.9.0, <18.9.1
- GitLab Enterprise Edition; >=14.4.0, <18.7.5; >=18.8.0, <18.8.5; >=18.9.0, <18.9.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2026-1662 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zranitelnost byla veřejně oznámena 25. 2. 2026.
Neautentizovanému vzdálenému útočníkovi je v důsledku nedostatečného omezení zpracování regulárních výrazů ve funkcionalitě žádostí o sloučení umožněno provést DoS útok [1].
Zranitelnost se nachází v produktech:
- GitLab Community Edition; >=9.2.0, <18.7.5; >=18.8.0, <18.8.5; >=18.9.0, <18.9.1
- GitLab Enterprise Edition; >=9.2.0, <18.7.5; >=18.8.0, <18.8.5; >=18.9.0, <18.9.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2026-1388 na cve.org, NVD
- CWE-1333: Inefficient Regular Expression Complexity na cwe.mitre.org
Zranitelnost byla veřejně oznámena 25. 2. 2026.
Za CESNET, z.s.p.o. Henrieta Paločková dne 26. 2. 2026.