GitLabs Patch Release 17.9.1, 17.8.4, 17.7.6 fixen XSS Schwachstellen

GitLab hat am 26.02.25 neue Patch-Releases für die Community Edition (CE) und Enterprise Edition (EE) veröffentlicht. Mit den Versionen 17.9.1, 17.8.4 und 17.7.6 behebt GitLab mehrere kritische Sicherheitslücken und diverse Bugs, die in zahlreichen Installationen entdeckt wurden.

Die aktuellen Patches adressieren unter anderem die folgenden Sicherheitsprobleme:

  • XSS in k8s Proxy Endpoint (CVE-2025-0475)
    Schweregrad: Hoch
    Eine Schwachstelle in einem Kubernetes-Proxy-Feature ermöglichte es, unter bestimmten Umständen unerwünschte Inhalte darzustellen. Die Korrektur dieser Lücke ist essenziell, um Cross-Site Scripting (XSS) Angriffe zu verhindern.
  • XSS Maven Dependency Proxy (CVE-2025-0555)
    Schweregrad: Hoch
    Diese Lücke in der Maven Dependency Proxy-Funktion könnte es Angreifern ermöglichen, Sicherheitsmechanismen zu umgehen und schädliche Skripte im Browser eines Benutzers auszuführen.
  • HTML Injection führt zu XSS auf Self-Hosted-Instanzen (CVE-2024-8186)
    Schweregrad: Mittel
    Durch eine fehlerhafte Handhabung von HTML-Inhalten in der Kind-Itemsuche konnte unter bestimmten Umständen XSS ausgelöst werden. Die Korrektur stellt sicher, dass HTML korrekt gefiltert wird.
  • Unzureichende Autorisierungsprüfung: Gastbenutzer können Sicherheitsrichtlinien einsehen (CVE-2024-10925)
    Schweregrad: Mittel
    Ein Gastbenutzer konnte fälschlicherweise auf sensible Sicherheitskonfigurationen zugreifen. Dieser Fix schließt die Lücke und verbessert die Zugriffskontrolle.
  • Planner-Rolle kann Code Review Analytics in privaten Projekten einsehen (CVE-2025-0307)
    Schweregrad: Mittel
    Eine unzulässige Berechtigungsvergabe ermöglichte es Nutzern mit eingeschränkten Rechten, Zugriff auf vertrauliche Projektanalysen zu erhalten. Auch diese Schwachstelle wurde in den aktuellen Versionen behoben.

Alle Administratoren von selbstverwalteten GitLab-Instanzen sollten dringend auf die neueste Version aktualisieren, um die genannten Sicherheitslücken zu schließen.

Tags :

Related Posts

Leak der BlackBasta-Chatlogs: Operative Einblicke in eine Ransomware-Gruppe

Interne Chat-Diskussionen des BlackBasta-Ransomware-Syndikats wurden kürzlich geleakt und liefern detaillierte Einblicke in die Arbeitsweise der Gruppe. Die Analyse ergab insgesamt 197.601 Nachrichten, verteilt auf 50 einzigartige Nutzer und 79 Chat-Räume, mit einem Beobachtungszeitraum vom 18. September 2023 bis 28. September 2024.

Read More

Privilege Escalation in NetScaler Console und Agent (CVE-2024-12284)

Citrix hat in einem aktuellen Sicherheitsbulletin auf eine kritische Schwachstelle in der NetScaler Console (ehemals NetScaler ADM) sowie im NetScaler Agent hingewiesen. Die betroffenen Versionen sind:

Read More

Kritische Sicherheitslücke in Everest Forms gefährdet über 100.000 WordPress-Seiten

Am 16. Januar 2025 wurde über eine schwerwiegende Sicherheitslücke im beliebten WordPress-Plugin Everest Forms bekannt – ein Plugin, das über 100.000 aktive Installationen zählt. Die Schwachstelle ermöglicht es Angreifern, ohne Authentifizierung beliebige Dateien hochzuladen, auszulesen und sogar zu löschen. Daraus resultiert das Risiko einer Remote Code Execution, womit Angreifer schädlichen PHP-Code auf den Server laden können, was zu einer kompletten Übernahme der Website führen kann.

Read More