Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] GitLab CE/EE opravuje 12 zraniteľností
GitLab verziami 19.0.2, 18.11.5 a 18.10.8 opravuje 12 zraniteľností v produktoch GitLab Community Edition (CE) a Enterprise Edition (EE). Najzávažnejšie z nich nájdete nižšie, zvyšné potom na [1].
Autentizovanému vzdialenému útočníkovi s rolou vlastníka skupiny je kvôli nesprávnej autorizácii vo funkcionalite správy identít Group SAML umožnené prevziať účet iného člena skupiny v GitLab EE [1].
Zraniteľnosť sa nachádza v produkte:
- GitLab Enterprise Edition; >=15.5, <18.10.8; >=18.11, <18.11.5; >=19.0, <19.0.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N
Viac informácií:
- CVE-2026-6552 na cve.org, NVD
- CWE-863: Incorrect Authorization na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 6. 2026.
Autentizovanému vzdialenému útočníkovi s oprávneniami roly Developer je kvôli nesprávnej sanitizácii vstupu v Analytics Dashboard umožnené zneužiť zraniteľnosť typu XSS a spustiť ľubovoľný kód v mene cieľového používateľa v GitLab EE [1].
Zraniteľnosť sa nachádza v produkte:
- GitLab EE; >=17.1, <18.10.8; >=18.11, <18.11.5; >=19.0, <19.0.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
Viac informácií:
- CVE-2026-10087 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation („Cross-site Scripting“) na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 6. 2026.
Neautentizovanému vzdialenému útočníkovi je kvôli nesprávnej validácii vstupu v middlewari na parsovanie API požiadaviek umožnené vykonať útok DoS v GitLab CE/EE [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=12.10, <18.10.8; >=18.11, <18.11.5; >=19.0, <19.0.2
- GitLab Enterprise Edition; >=12.10, <18.10.8; >=18.11, <18.11.5; >=19.0, <19.0.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2026-7250 na cve.org, NVD
- CWE-20: Improper Input Validation na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 6. 2026.
Autentizovanému vzdialenému útočníkovi je kvôli nesprávnej sanitizácii používateľského vstupu v niektorých poliach nastavení skupiny umožnené zneužiť zraniteľnosť typu HTML injection a pridať neoprávnené e-mailové adresy k účtu cieľového používateľa v GitLab EE [1].
Zraniteľnosť sa nachádza v produkte:
- GitLab Enterprise Edition; >=13.1.4, <=18.10.8; >=18.11, <18.11.5; >=19.0, <19.0.2
CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:N
Viac informácií:
- CVE-2026-8589 na cve.org, NVD
- CWE-80: Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS) na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 6. 2026.
Autentizovanému vzdialenému útočníkovi je kvôli nekontrolovanej spotrebe prostriedkov pri spracovaní špeciálne upraveného súboru umožnené vykonať útok DoS v GitLab CE/EE [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=17.10, <18.10.8; >=18.11, <18.11.5; >=19.0, <19.0.2
- GitLab Enterprise Edition; >=17.10, <18.10.8; >=18.11, <18.11.5; >=19.0, <19.0.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2026-1500 na cve.org, NVD
- CWE-400: Uncontrolled Resource Consumption na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 6. 2026.
Autentizovanému vzdialenému útočníkovi s oprávneniami roly Developer je kvôli nesprávnemu presadzovaniu autorizácie v Merge Requests API umožnené upravovať skryté merge requesty v GitLab CE/EE [1].
Zraniteľnosť sa nachádza v produktoch:
- GitLab Community Edition; >=15.10, <18.10.8; >=18.11, <18.11.5; >=19.0, <19.0.2
- GitLab Enterprise Edition; >=15.10, <18.10.8; >=18.11, <18.11.5; >=19.0, <19.0.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
Viac informácií:
- CVE-2026-6269 na cve.org, NVD
- CWE-863: Incorrect Authorization na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 6. 2026.
Za CESNET, z.s.p.o. Michaela Jarošová dňa 11. 6. 2026.