CVE-2025-7449
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
GitLab naprawił problem w GitLab CE/EE dotyczący wszystkich wersji od 8.3 przed 18.4.5, 18.5 przed 18.5.3 i 18.6 przed 18.6.1, który mógł pozwolić uwierzytelnionemu użytkownikowi z określonymi uprawnieniami na wywołanie odmowy usługi poprzez przetwarzanie odpowiedzi HTTP.
Ocena ryzyka
Uwierzytelniony użytkownik może spowodować niedostępność GitLab, zakłócając pracę zespołu.
Rekomendacja
Należy zaktualizować GitLab do wersji 18.4.5, 18.5.3, 18.6.1 lub nowszej.
Inne podatności w GitLab
Zobacz wszystkie- CVE-2026-0723Wysokie
GitLab CE/EE w wersjach od 18.6 do 18.6.4, 18.7 do 18.7.2 i 18.8 do 18.8.2 zawiera podatność, która pozwala osobie znającej identyfikator poświadczeń ofiary na ominięcie uwierzytelniania dwuskładnikowego poprzez wysłanie sfałszowanych odpowiedzi urządzenia.
- CVE-2025-13928Wysokie
GitLab CE/EE w wersjach od 17.7 do 18.6.4, 18.7 do 18.7.2 i 18.8 do 18.8.2 zawiera podatność, która pozwala nieuwierzytelnionemu użytkownikowi na spowodowanie odmowy usługi (DoS) poprzez wykorzystanie nieprawidłowej walidacji autoryzacji w endpointach API.
- CVE-2025-13927Wysokie
GitLab CE/EE w wersjach od 11.9 do 18.6.4, 18.7 do 18.7.2 i 18.8 do 18.8.2 zawiera podatność, która pozwala nieuwierzytelnionemu użytkownikowi na spowodowanie odmowy usługi (DoS) poprzez wysyłanie spreparowanych żądań z nieprawidłowymi danymi uwierzytelniającymi.
- CVE-2025-11224Wysokie
GitLab naprawił problem w GitLab CE/EE dotyczący wszystkich wersji od 15.10 przed 18.3.6, 18.4 przed 18.4.4 i 18.5 przed 18.5.2, który mógł pozwolić uwierzytelnionemu użytkownikowi na wykonanie przechowywanego cross-site scripting (XSS) poprzez nieprawidłową walidację danych wejściowych w funkcjonalności proxy Kubernetes.
- CVE-2016-9469Wysokie
Wiele wersji GitLab naraża na niebezpieczną metodę, która może prowadzić do usunięcia wszystkich obiektów Issue i MergeRequest przez dowolnego uwierzytelnionego użytkownika. W przypadku projektów publicznych, podatność ta może być wykorzystana przez użytkowników nieautoryzowanych.
- CVE-2016-4340Wysokie
Funkcja impersonacji w Gitlabie w wersjach 8.7.0 oraz 8.6.0 do 8.6.7, 8.5.0 do 8.5.11, 8.4.0 do 8.4.9, 8.3.0 do 8.3.8 oraz 8.2.0 do 8.2.4 pozwala zdalnie uwierzytelnionym użytkownikom na 'logowanie' jako inny użytkownik za pomocą nieokreślonych wektorów.
- CVE-2026-110264Krytyczne
W GitLab CE/EE w wielu wersjach wykryto błąd przepełnienia liczb całkowitych podczas kompilacji spreparowanego wyrażenia regularnego. W określonych warunkach może to pozwolić nieuwierzytelnionemu użytkownikowi na wykonanie dowolnego kodu na serwerze GitLab.
- CVE-2026-97229KrytyczneAktywnie exploitowane
GitLab CE/EE w wersjach od 19.2 do 19.2.8, 19.3 do 19.3.5 oraz 19.4 do 19.4.2 zawiera podatność, która w określonych warunkach może pozwolić nieuwierzytelnionemu użytkownikowi na wykonanie dowolnego kodu na serwerze GitLab. Problem wynika z niewystarczającej walidacji wyrażeń regularnych w konfiguracji CI/CD.
- CVE-2026-87719Krytyczne
W GitLab EE występuje luka pozwalająca uwierzytelnionemu użytkownikowi z dostępem do Duo Chat na uzyskanie konfiguracji Advanced Search oraz poufnych poświadczeń. Atakujący wykorzystuje specjalnie spreparowany argument subskrypcji GraphQL do obejścia serializacji i wykonania wyszukiwania obiektów serwera.
- CVE-2026-85706KrytyczneAktywnie exploitowane
W GitLab CE/EE występuje luka w API commitów repozytorium polegająca na niewłaściwym ograniczeniu ścieżek i braku wymuszania uwierzytelniania. W określonych warunkach nieuwierzytelniony użytkownik może odczytać dowolne pliki z serwera GitLab.
Oryginalny opis (angielski, źródło NVD)
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 8.3 before 18.4.5, 18.5 before 18.5.3, and 18.6 before 18.6.1 that could have allowed an authenticated user with specific permissions to cause a denial of service condition through HTTP response processing.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS