2026-0050: GitLab: Mehrere Schwachstellen ermöglichen u. a. Cross-Site-Scripting-Angriffe

Historie:

Version 1 (2026-01-08 10:50): Neues Advisory

Betroffene Software

Entwicklung
Server

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Dateien zu manipulieren, Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen, Cross-Site-Scripting (XSS)-Angriffe durchzuführen, beliebigen Programmcode auszuführen und Denial-of-Service (DoS)-Angriffe durchzuführen. Zudem kann ein Angreifer eine Schwachstelle lokal ausnutzen, um einen Denial-of-Service (DoS)-Angriff durchzuführen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Mehrere Schwachstellen erfordern die Interaktion eines Benutzers. Die erfolgreiche Ausnutzung zweier Schwachstellen kann Einfluss auf andere Komponenten haben.

Die Schwachstellen werden mit den Versionen 18.7.1, 18.6.3 und 18.5.5 der GitLab Community Edition (CE) und Enterprise Edition (EE) behoben. Durch ein Update der verwendeten Bibliothek Libpng auf Version 1.6.51 werden die Schwachstellen CVE-2025-65018 and CVE-2025-64720 adressiert. Von den Schwachstellen CVE-2025-13772 und CVE-2025-13781 ist lediglich GitLab Enterprise Edition (EE) betroffen. Auch ältere Versionszweige sind betroffen.

Schwachstellen:

CVE-2025-10569

Schwachstelle in GitLab ermöglicht Denial-of-Service-Angriff

CVE-2025-11246

Schwachstelle in GitLab ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2025-13761

Schwachstelle in GitLab ermöglicht u. a. Cross-Site-Scripting-Angriff

CVE-2025-13772

Schwachstelle in GitLab ermöglicht u. a. Ausspähen von Informationen

CVE-2025-13781

Schwachstelle in GitLab ermöglicht Manipulation von Dateien

CVE-2025-3950

Schwachstelle in GitLab ermöglicht Ausspähen von Informationen

CVE-2025-64720

Schwachstelle in libpng ermöglicht u. a. Denial-of-Service-Angriff

CVE-2025-65018