Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] GitLab CE/EE opravuje 13 zranitelností
GitLab verzemi 19.1.1, 19.0.3 a 18.11.6 opravuje 13 zranitelností v produktech GitLab Community Edition (CE) a Enterprise Edition (EE). Nejzávažnější z nich jsou popsány níže, zbytek naleznete na [1].
Autentizovanému vzdálenému útočníkovi s oprávněními role Developer je za určitých podmínek v důsledku nedostatečné sanitizace vstupu od uživatele umožněno spustit libovolný klientský kód v kontextu relace jiného uživatele [1].
Zranitelnost se nachází v produktu:
- GitLab EE; >=16.4, <18.11.6; >=19.0, <19.0.3; >=19.1, <19.1.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
Více informací:
- CVE-2026-10086 na cve.org, NVD
- CWE-264: Permissions, Privileges, and Access Controls na cwe.mitre.org
Zranitelnost byla veřejně oznámena 24. 6. 2026.
Neautentizovanému vzdálenému útočníkovi je za určitých podmínek v důsledku nesprávné validace cesty umožněno spustit libovolný JavaScript v prohlížeči uživatele [1].
Zranitelnost se nachází v produktu:
- GitLab CE/EE; >=18.10, <18.11.6; >=19.0, <19.0.3; >=19.1, <19.1.1
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N
Více informací:
- CVE-2026-10712 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 24. 6. 2026.
Autentizovanému vzdálenému útočníkovi s nízkými oprávněními je za určitých podmínek v důsledku nedostatečného filtrování výstupu v Duo Workflows umožněno získat přístup k citlivým informacím, které již byly uloženy do repozitáře [1].
Zranitelnost se nachází v produktu:
- GitLab EE; >=19.1, <19.1.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
Více informací:
- CVE-2026-12053 na cve.org, NVD
- CWE-532: Insertion of Sensitive Information into Log File na cwe.mitre.org
Zranitelnost byla veřejně oznámena 24. 6. 2026.
Za CESNET, z.s.p.o. Henrieta Paločková dne 25. 6. 2026.