[TLP:CLEAR] GitLab CE/EE opravuje 13 zranitelností
GitLab verziami 19.1.1, 19.0.3 a 18.11.6 opravuje 13 zraniteľností v produktoch GitLab Community Edition (CE) a Enterprise Edition (EE). Najzávažnejšie z nich sú popísané nižšie, zvyšok nájdete na [1].
Autentizovanému vzdialenému útočníkovi s oprávneniami roly Developer je za určitých podmienok v dôsledku nedostatočnej sanitizácie vstupu od používateľa umožnené spustiť ľubovoľný klientsky kód v kontexte relácie iného používateľa [1].
Zraniteľnosť sa nachádza v produkte:
- GitLab EE; >=16.4, <18.11.6; >=19.0, <19.0.3; >=19.1, <19.1.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
Viac informácií:
- CVE-2026-10086 na cve.org, NVD
- CWE-264: Permissions, Privileges, and Access Controls na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 24. 6. 2026.
Neautentizovanému vzdialenému útočníkovi je za určitých podmienok v dôsledku nesprávnej validácie cesty umožnené spustiť ľubovoľný JavaScript v prehliadači používateľa [1].
Zraniteľnosť sa nachádza v produkte:
- GitLab CE/EE; >=18.10, <18.11.6; >=19.0, <19.0.3; >=19.1, <19.1.1
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N
Viac informácií:
- CVE-2026-10712 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 24. 6. 2026.
Autentizovanému vzdialenému útočníkovi s nízkymi oprávneniami je za určitých podmienok v dôsledku nedostatočného filtrovania výstupu v Duo Workflows umožnené získať prístup k citlivým informáciám, ktoré už boli uložené do repozitára [1].
Zraniteľnosť sa nachádza v produkte:
- GitLab EE; >=19.1, <19.1.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
Viac informácií:
- CVE-2026-12053 na cve.org, NVD
- CWE-532: Insertion of Sensitive Information into Log File na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 24. 6. 2026.
Za CESNET, z.s.p.o. Henrieta Paločková dňa 25. 6. 2026.