Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] GitLab CE/EE opravuje 15 zranitelností
GitLab verzemi 18.9.2, 18.8.6 a 18.7.6 opravuje 15 zranitelností v produktech GitLab Community Edition (CE) a Enterprise Edition (EE) [1]. Nejzávažnější zranitelnosti jsou uvedeny níže.
Autentizovanému vzdálenému útočníkovi je v důsledku nedostatečné sanitizace zástupných proměnných při zpracování obsahu Markdown umožněno provést XSS útok [1].
Zranitelnost se nachází v produktech:
- GitLab Community Edition; >=10.6, <18.7.6; >=18.8, <18.8.6; >=18.9, < 18.9.2
- GitLab Enterprise Edition; >=10.6, <18.7.6; >=18.8, <18.8.6; >=18.9, < 18.9.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
Více informací:
- CVE-2026-1090 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 11. 3. 2026.
Neautentizovanému vzdálenému útočníkovi je v důsledku nekontrolované rekurze v GraphQL API umožněno provést DoS útok zasíláním speciálně upravených požadavků [1].
Zranitelnost se nachází v produktech:
- GitLab Community Edition; >=18.9, <18.9.2
- GitLab Enterprise Edition; >=18.9, <18.9.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2026-1069 na cve.org, NVD
- CWE-674: Uncontrolled Recursion na cwe.mitre.org
Zranitelnost byla veřejně oznámena 11. 3. 2026.
Neautentizovanému vzdálenému útočníkovi je zasíláním speciálně upravených požadavků na koncové body archivu repozitáře umožněno provést DoS útok [1].
Zranitelnost se nachází v produktech:
- GitLab Community Edition; >=10.0, <18.7.6; >=18.8, <18.8.6; >=18.9, <18.9.2
- GitLab Enterprise Edition; >=10.0, <18.7.6; >=18.8, <18.8.6; >=18.9, <18.9.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2025-13929 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zranitelnost byla veřejně oznámena 11. 3. 2026.
Neautentizovanému vzdálenému útočníkovi je v důsledku nedostatečné validace vstupů při zpracování speciálně upravených JSON požadavků v API chráněných větví umožněno provést DoS útok [1].
Zranitelnost se nachází v produktech:
- GitLab Community Edition; >=16.11, <18.7.6; >=18.8, <18.8.6; >=18.9, <18.9.2
- GitLab Enterprise Edition; >=16.11, <18.7.6; >=18.8, <18.8.6; >=18.9, <18.9.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2025-14513 na cve.org, NVD
- CWE-1284: Improper Validation of Specified Quantity in Input na cwe.mitre.org
Zranitelnost byla veřejně oznámena 11. 3. 2026.
Za CESNET, z.s.p.o. Henrieta Paločková dne 12. 3. 2026.