Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] GitLab CE/EE opravuje 12 zraniteľností

GitLab vo verziách 18.10.1, 18.9.3 a 18.8.7 opravuje 12 zraniteľností v produktoch GitLab Community Edition (CE) a Enterprise Edition (EE) [1]. Najzávažnejšie zraniteľnosti sú uvedené nižšie, zvyšné nájdete na [1].

GitLab CE/EE - obídenie autorizácie (CVE-2026-2370)
CVSS 8.1 (High)

Autentizovanému vzdialenému útočníkovi s minimálnymi oprávneniami vo workspace je kvôli nedostatočnej autorizačnej kontrole pri inštaláciách Jira Connect v GitLab CE/EE umožnené získať inštalačné prihlasovacie údaje a vydávať sa za aplikáciu GitLab [1].

Zraniteľnosť sa nachádza v produktoch:

  • GitLab Community Edition; >=14.3, <18.8.7; >=18.9, <18.9.3; >=18.10, <18.10.1
  • GitLab Enterprise Edition; >=14.3, <18.8.7; >=18.9, <18.9.3; >=18.10, <18.10.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 25. 3. 2026.

GitLab CE/EE - CSRF (CVE-2026-3857)
CVSS 8.1 (High)

Neautentizovanému vzdialenému útočníkovi je kvôli nedostatočnej ochrane proti CSRF v GraphQL API v GitLab CE/EE umožnené vykonávať ľubovoľné GraphQL mutácie v mene autentizovaných používateľov [1].

Zraniteľnosť sa nachádza v produktoch:

  • GitLab Community Edition; >=17.10, <18.8.7; >=18.9, <18.9.3; >=18.10, <18.10.1
  • GitLab Enterprise Edition; >=17.10, <18.8.7; >=18.9, <18.9.3; >=18.10, <18.10.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 25. 3. 2026.

GitLab EE - HTML injection (CVE-2026-2995)
CVSS 7.7 (High)

Autentizovanému vzdialenému útočníkovi je kvôli nedostatočnej sanitizácii HTML obsahu v reporte zraniteľností v GitLab EE umožnené pridať e-mailové adresy k cieleným používateľským účtom [1].

Zraniteľnosť sa nachádza v produkte:

  • GitLab Enterprise Edition; >=15.4, <18.8.7; >=18.9, <18.9.3; >=18.10, <18.10.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N

Viac informácií:

  • CVE-2026-2995 na cve.org, NVD
  • CWE-80: Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS) na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 25. 3. 2026.

GitLab CE/EE - DoS (CVE-2026-3988)
CVSS 7.5 (High)

Neautentizovanému vzdialenému útočníkovi je kvôli nedostatočnej validácii vstupu pri spracovaní GraphQL požiadaviek v GraphQL API v GitLab CE/EE umožnené vykonať DoS útok [1].

Zraniteľnosť sa nachádza v produktoch:

  • GitLab Community Edition; >=18.5, <18.8.7; >=18.9, <18.9.3; >=18.10, <18.10.1
  • GitLab Enterprise Edition; >=18.5, <18.8.7; >=18.9, <18.9.3; >=18.10, <18.10.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 25. 3. 2026.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 26. 3. 2026.

CESNET, z.s.p.o. Logo